PHP编写的按钮跳转链接返回403 Forbidden无权限错误如何解决？

1. 修正代码基础语法错误 #

你的跳转链接代码存在PHP标签语法问题，<? php中间多了空格，正确的PHP起始标签为<?php，语法错误会导致链接无法正常生成，甚至触发服务端权限校验逻辑。修正后的代码如下：

<a  class="btn-danger" href="<?php echo SITEURL;?>admin/delete-admin.php?id=<?php echo $id;?>"> Delete </a>

修正后先测试访问是否还报错，若仍返回403继续往下排查。

2. 排查Apache文件/目录权限配置 #

• 检查admin目录、delete-admin.php文件的访问权限：Windows环境下确认对应文件/目录没有设置只读限制，Apache运行账号具备该文件的读取、执行权限
• 检查admin目录下是否存在.htaccess文件，查看是否有限制IP访问、禁止访问特定路径的规则，比如Deny from all这类配置，或者错误的重写规则导致请求指向了无权限的路径
• 检查Apache主配置文件httpd.conf中对应站点的Directory配置段，确认Apache2.4版本使用了正确的权限规则Require all granted，不要混用旧版本的Order Allow/Deny写法

3. 排查业务逻辑权限拦截 #

• 检查delete-admin.php文件开头是否有权限校验逻辑，比如要求登录态、管理员角色权限，确认你访问时已经登录了符合要求的管理员账号，业务代码主动拦截无权限请求返回403属于正常逻辑
• 打印出最终生成的完整跳转链接，手动复制到地址栏访问，确认链接中的域名、路径、id参数没有异常字符，部分系统会对非法参数的请求直接返回403拦截

4. 排查Apache安全规则拦截 #

• 检查是否开启了mod_security等安全模块，删除属于高危操作，可能被安全模块的默认规则拦截返回403，可临时关闭安全模块测试访问是否正常
• 确认服务端是否配置了CSRF校验规则，GET类型的删除操作如果没有携带合法的CSRF token，也会被安全规则拦截返回403

内容的提问来源于stack exchange，提问作者amira sayed