强制Nginx重写应用已返回文档的403响应

默认情况下，Nginx的error_page仅会处理自身生成的错误响应（比如文件不存在、Nginx自身权限问题），当上游应用主动返回403状态码及对应文档时，Nginx会直接转发这个响应，不会触发你配置的error_page规则。要实现替换应用返回的403响应，需要开启Nginx对上游错误的拦截功能，具体配置如下：

1. 根据应用部署方式启用错误拦截指令 #

• 如果你用反向代理（proxy_pass）对接应用，在对应的location块中添加：

  proxy_intercept_errors on;
  

• 如果你用FastCGI（比如对接PHP-FPM），在对应的location块中添加：

  fastcgi_intercept_errors on;
  

2. 完整配置示例 #

反向代理场景 #

server {
    listen 80;
    server_name your-domain.com;

    location / {
        proxy_pass http://your-upstream-app; # 替换为你的应用地址
        proxy_intercept_errors on; # 开启上游错误拦截
        error_page 403 /40x.html;
    }

    # 自定义403页面的location
    location = /40x.html {
        root /usr/share/nginx/html; # 替换为你的静态文件目录
        internal; # 禁止客户端直接访问该页面，仅允许Nginx内部调用
    }
}

FastCGI场景（以PHP为例） #

server {
    listen 80;
    server_name your-domain.com;
    root /var/www/html;

    location ~ \.php$ {
        fastcgi_pass unix:/run/php/php8.2-fpm.sock; # 替换为你的FPM地址
        fastcgi_intercept_errors on; # 开启FastCGI错误拦截
        error_page 403 /40x.html;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }

    location = /40x.html {
        root /usr/share/nginx/html;
        internal;
    }
}

3. 纯文本响应替代方案 #

如果不需要自定义HTML页面，直接返回纯文本，可简化配置：

location / {
    proxy_pass http://your-upstream-app;
    proxy_intercept_errors on;
    error_page 403 "访问被拒绝，请联系管理员";
}

内容的提问来源于stack exchange，提问作者Kuszerek