群晖DSM7.1个人网站.htaccess存在即触发403错误问题求助

该问题是DSM 7.x版本Web Station个人站点的默认配置限制导致，和.htaccess文件内容、文件权限无直接关联：

• 从DSM 6升级到7后，系统重构了Apache的配置逻辑，个人站点（/~username/路径形式）对应的目录配置默认将AllowOverride设为None，完全禁用.htaccess规则解析，同时全局规则对用户目录下的.ht开头隐藏文件做了特殊拦截，只要文件存在就直接返回403，哪怕是空文件
• DSM 7调整了内置Web服务的运行用户权限，http服务用户默认不在users用户组，部分场景下即便给文件设777权限（不推荐），仍会因系统ACL限制无法读取.htaccess文件
• 旧版本DSM下的自定义Apache规则不会随系统升级自动迁移，原有WordPress固定链接的rewrite配置全部失效，删除.htaccess后出现子页面404就是rewrite规则不生效的典型表现

优先使用方案一，配置会被Web Station自动持久化，不会随系统小版本更新丢失。

方案一：Web Station图形界面配置（推荐） #

• 打开DSM控制面板，进入Web Station，先在「脚本语言设置」中找到个人站点使用的PHP 7.4配置档，编辑后切换到扩展页，确认rewrite扩展已勾选启用，保存。
• 进入「Web服务门户」列表，找到标注为「Personal Website」的个人站点门户条目，点击编辑。
• 切换到Apache配置页，在「额外Apache指令」输入框中填入以下配置：

<Directory /var/services/homes/*/www>
    Options FollowSymLinks
    AllowOverride All
    Require all granted
</Directory>

注意：不要删除Apache默认自带的<FilesMatch "^\.ht"> Require all denied </FilesMatch>规则，该规则仅阻止外部用户通过HTTP直接下载.htaccess文件，不会影响Apache内部读取文件解析规则，删除会导致敏感配置泄露。

• 保存配置后Web Station会自动重载对应Apache服务，等待10秒左右刷新站点验证。
• 验证步骤：在站点目录下新建空.htaccess文件，访问站点首页返回200即代表拦截规则已失效；进入WordPress后台重新保存一次固定链接结构，测试文章、分类页面访问，无404即修复完成。

方案二：SSH手动修改配置（适用于图形界面配置不生效的场景） #

• 用管理员账号通过SSH连接群晖，执行sudo -i切换到root权限。
• 先修正服务用户权限：执行usermod -aG users http将http用户加入users组，确保服务进程有权限读取homes目录下的所有站点文件。
• 进入Apache配置目录：cd /usr/local/etc/apache24/sites-enabled/，找到个人站点对应的配置文件，通常文件名为httpd-vhost-personal.conf，用vi编辑该文件。
• 找到配置中<Directory /var/services/homes/*/www>的配置段，将段内的AllowOverride None修改为AllowOverride All，补充Options FollowSymLinks配置。
• 保存退出后执行apachectl -t检查配置语法，返回Syntax OK后执行apachectl graceful平滑重载Apache服务。
• 验证逻辑和方案一一致。

• 不要长期将站点目录、文件权限设为777，会带来极大的越权安全风险，正确权限配置为：目录755、文件644，文件属主为对应个人站点的用户，属组设置为http即可满足运行要求。
• WordPress自动生成的.htaccess中RewriteBase和最后一条rewrite规则的路径必须和个人站点路径匹配，格式为/~你的DSM用户名/，不要误写为站点根路径/，很多人改完配置还是报404，基本都是这里写错了。
• 不要尝试回退DSM版本解决该问题，群晖官方明确不支持大版本回退，强制回退会导致数据损坏、配置丢失。

内容的提问来源于stack exchange，提问作者LeoF