Apache配置虚拟主机后访问mp3文件报403 Forbidden如何解决

核心问题定位 #

你当前的配置存在三个关键逻辑错误，导致目录权限配置完全不生效：

• 全路径反代覆盖本地文件读取逻辑：配置的ProxyPass / http://localhost:9111/example/会将所有发往443端口的请求全量转发到后端9111端口的服务，Apache根本不会读取本地/home/tomcat/webapps/下的文件，你写的<Directory>权限规则完全没有触发机会，403错误实际是后端Tomcat/Spring Boot返回的，和Apache目录权限无关。
• 资源路径违反Servlet容器访问规则：你将mp3文件放在WEB-INF目录下，Servlet规范明确规定WEB-INF目录下的所有内容禁止外部直接访问，哪怕后端服务收到对应请求，也会直接返回403。
• 存在风险配置：你开启了ProxyRequests on，这是正向代理开关，做反向代理时不需要开启，配置不当会被恶意扫描利用为公共代理服务器。

分步修复方案 #

1. 调整静态资源存放路径 #

将需要对外访问的静态资源从WEB-INF目录移出，放到Tomcat应用根目录下的非受限路径，比如新建/home/tomcat/webapps/example/static-content/目录，将音频文件按原有层级放到该路径下，最终mp3路径为/home/tomcat/webapps/example/static-content/Chapter-1/Audio/1.mp3，从根源避开WEB-INF的访问限制。

2. 修正Apache虚拟主机配置 #

在全路径反代规则前，先配置静态资源路径不走代理，直接由Apache返回文件，修正后的配置参考如下：

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    
    SSLEngine on
    SSLCertificateFile /home/cert/example/ssl.cer
    SSLCertificateKeyFile /home/cert/example/private.key
    SSLCertificateChainFile /home/cert/example/caclient.cer
    DocumentRoot /home/tomcat/webapps/example

    # 静态资源路径跳过反向代理，规则必须放在全路径代理规则之前
    ProxyPass /static-content/ !
    <Directory /home/tomcat/webapps/example/static-content/>
        Options -Indexes +FollowSymLinks
        AllowOverride None
        Require all granted
    </Directory>

    # 其余请求正常转发到后端服务
    ProxyRequests Off
    ProxyPass / http://localhost:9111/example/
    ProxyPassReverse / http://localhost:9111/example/
    ProxyPassReverseCookiePath /example /
    ProxyPassReverseCookieDomain  example.com www.example.com
    RequestHeader set X-Forwarded-Proto "https"
    RequestHeader set X-Forwarded-Port "443"
</VirtualHost>

配置修正点说明：

• 新增ProxyPass /static-content/ !规则，声明该路径下的请求不走反向代理，注意该规则必须放在根路径代理规则之前，否则不会生效
• 关闭ProxyRequests开关，消除正向代理带来的安全风险
• 删除重复的Options FollowSymlinks配置，关闭不必要的MultiViews、AllowOverride，减少规则冲突概率

3. 验证与残留问题排查 #

• 执行apachectl configtest检查配置语法无报错后，重启Apache服务
• 直接访问https://example.com/static-content/Chapter-1/Audio/1.mp3验证文件是否可以正常加载
• 如果仍返回403，逐层级检查目录权限：从/home/tomcat开始，每一级上级目录都需要给Apache运行用户（通常为www-data或apache）授予可执行权限（目录需要x权限才能进入读取内部文件），不建议直接给777权限，避免引入安全风险
• 直接查看Apache错误日志（默认路径为/var/log/apache2/error.log或/var/log/httpd/error_log），日志会明确记录403的具体触发原因，是权限不足还是路径匹配错误，可以直接定位问题。

如果你不想调整资源位置，要让Spring Boot处理静态资源返回，需要在Spring Boot配置中新增静态资源映射，将classpath:/static/public/example-content/加入静态资源路径列表，但这种方式大文件走Tomcat处理性能差，不适合音频这类大体积资源场景。

内容的提问来源于stack exchange，提问作者user19214413