Kubernetes集群中Docker部署的Nginx反向代理转发Laravel应用时，上传大文件返回403 Forbidden问题求助

看起来你遇到的这个403问题有点奇怪——毕竟已经调大了Nginx和PHP的文件上传限制，但小文件组合或者稍大一点的单个文件就触发禁止访问。咱们一步步来排查：

首先，先去看Nginx的错误日志，这是定位403原因最关键的一步。你可以在Nginx容器里执行：

tail -f /var/log/nginx/error.log

然后再触发一次失败的上传，日志里会明确告诉你是权限问题、请求被拦截还是其他限制，这能帮我们快速缩小范围。

接下来，根据常见的类似问题，给你几个排查方向：

1. 检查Laravel上传目录的权限 #

403经常和权限挂钩，尤其是Laravel的storage/app/public目录（默认上传路径）。需要确保Nginx运行的用户（你配置里的nginx用户）对这个目录有读写权限：

• 进入你的Laravel Pod：

  kubectl exec -it <你的Laravel Pod名称> -- /bin/bash
  

• 查看目录权限：

  ls -ld /var/www/storage
  ls -ld /var/www/storage/app/public
  

• 如果权限不对，执行以下命令修复：

  chown -R nginx:nginx /var/www/storage
  chmod -R 755 /var/www/storage
  

  也可以在构建Laravel镜像时就提前设置好权限，在Dockerfile里添加：

  RUN chown -R nginx:nginx /var/www/storage && chmod -R 755 /var/www/storage
  

2. 检查Laravel的验证规则和CSRF保护 #

• CSRF令牌：如果你的上传表单是通过HTML提交，确保表单里包含了@csrf指令；如果是AJAX上传，要在请求头里携带X-CSRF-TOKEN（值可以从页面的meta标签获取）。Laravel会拦截没有CSRF令牌的请求，返回403。
• 文件大小验证规则：检查你Laravel代码里的验证逻辑，比如控制器里的验证规则有没有设置过小的max限制：

  // 示例：如果这里max设成1024（1MB），哪怕Nginx和PHP允许更大，也会被Laravel拦截返回403
  return Validator::make($request->all(), [
      'files' => 'required|array',
      'files.*' => 'file|max:65536', // 改成65536（64MB）匹配你的PHP配置
  ]);
  

3. 检查Kubernetes Ingress的上传限制（如果用了Ingress） #

如果你的Nginx服务是通过Ingress暴露的，Ingress Controller的client-max-body-size注解会覆盖Nginx本身的配置。检查你的Ingress YAML：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    # 确保这个值足够大，比如和你Nginx配置一致的128m
    nginx.ingress.kubernetes.io/client-max-body-size: "128m"
  name: laravel-ingress
# ... 其他配置

如果之前的注解值太小，更新后执行kubectl apply -f <你的Ingress文件>生效。

4. 检查FastCGI相关配置（针对PHP处理块） #

虽然你已经在全局http块和location /里设置了client_max_body_size，但可以尝试在处理PHP的location ~ \.php$块里也添加该配置，确保FastCGI请求没有被遗漏：

location ~ \.php$ {
    fastcgi_split_path_info ^(.+\.php)(/.+)$;
    fastcgi_pass kubernetes-laravel-service:9000;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    fastcgi_param PATH_INFO $fastcgi_path_info;
    # 添加这一行
    client_max_body_size 128M;
}

修改后重启Nginx容器：kubectl exec -it <你的Nginx Pod名称> -- nginx -s reload

5. 排查SELinux/AppArmor限制 #

如果你的K8s节点开启了SELinux，可能会阻止Nginx或PHP进程写入存储目录。可以临时在节点上关闭SELinux测试（仅用于排查，生产环境不建议）：

setenforce 0

如果关闭后上传正常，你需要配置SELinux规则，允许相关进程访问目录，或者在Pod的securityContext里添加SELinux选项：

securityContext:
  seLinuxOptions:
    type: httpd_sys_rw_content_t

先从查看Nginx错误日志开始，这能帮你直接定位问题所在，再结合上面的方向逐一排查，应该能解决这个403问题。

内容的提问来源于stack exchange，提问作者IslemKms