Ajax POST提交含HTML标签的表单时服务器返回403 Forbidden错误

本地环境运行正常、服务器环境提交带HTML/JS/iframe代码的表单报403，且print_r($_POST)无任何输出，核心原因是请求根本没有到达PHP代码执行层，在服务器入口/安全层就被拦截了，按以下优先级排查即可：

• 优先排查云服务商WAF拦截
  目前云服务器、虚拟主机默认开启的Web应用防火墙，规则会直接识别POST请求体内的<script>、<iframe>、事件属性（onclick/onload等）这类前端代码特征，命中规则后直接返回403响应，完全不会把请求转发给后端PHP处理，这也是你写的打印代码完全不生效的核心原因。
  验证方法：把表单里的代码类字段替换成无任何特殊符号的普通文本提交，如果此时能正常获取$_POST内容；或者前端把代码字段做base64编码后再提交，后端接收解码后能正常拿到内容，就能100%确认是WAF拦截。
  解决方式：登录云服务商控制台，找到WAF配置项，给当前表单提交的接口路径加白名单，或者调低对应规则的拦截等级；如果是虚拟主机没有WAF配置权限，就统一在前端提交前对富文本、代码类字段做base64/urlencode编码，后端接收后解码还原内容即可。
• 排查服务器本地部署的安全模块
  本地开发环境一般不会装服务器级安全防护，生产环境常见的Apache mod_security模块、Nginx WAF模块、宝塔/运维面板自带的网站防火墙，拦截逻辑和云WAF完全一致，会对请求体做恶意特征扫描，命中脚本、iframe特征就直接返回403。
  验证方法：临时关闭服务器上的Web防火墙后再次提交测试，如果提交恢复正常，就去防火墙规则列表里找到对应拦截记录，把误拦截的规则项关闭，或者单独给提交接口加白名单即可，不要全局关闭防火墙避免引入安全风险。
• 次要排查PHP配置限制
  这类问题一般不会触发403，多为返回200状态码但$_POST为空，顺带排查即可：
  1. 输出phpinfo()核对post_max_size配置值，确保配置大小大于你提交的表单总数据大小
  2. 检查是否安装了Suhosin安全扩展，若已安装，核对suhosin.post.max_value_length、suhosin.request.max_var_length配置，避免参数长度超限被截断
  3. 确认PHP配置中enable_post_data_reading为On状态，否则PHP不会自动解析POST请求体内容
• 最后排查访问控制与权限配置
  如果提交纯文本内容也报403，再检查以下项：
  1. 接收表单的PHP文件权限设为644，所在目录权限设为755即可，不要设置777最高权限，部分服务器配置会直接拦截权限过高的文件执行
  2. 检查Nginx/Apache的站点配置，确认提交接口路径没有限制仅允许GET请求、没有配置IP白名单/Referer校验规则拦截正常POST请求
  3. 如果使用了PHP框架，检查框架的CSRF校验、全局中间件逻辑，确认特殊字符请求没有被中间件拦截，框架拦截一般会返回框架自定义的报错页面，和服务器默认403页有明显区别，很容易区分。

注意：不要为了省事直接关闭所有安全防护规则，优先使用路径白名单、提交前编码转义的方案处理，避免站点出现脚本注入、跨站等安全漏洞。

内容的提问来源于stack exchange，提问作者M. Samaun Samn