XAMPP报错403 Forbidden：权限不足无法访问htdocs的解决方法

作者：袖梨 2026-06-20

Apache 403错误的根本原因是未授权访问，核心在于缺少显式Require all granted指令；必须在对应<Directory>块中配置该指令，且需同步检查文件系统权限、SELinux策略、顶层配置覆盖及XAMPP安全限制。

403 Forbidden 不是文件没放对、也不是 Apache 没启动，而是 Apache 明确拒绝了访问请求——根本原因就一个：它没被授权读取你的目录。

Apache 2.4+ 的 `Require all granted` 必须显式写进 `<Directory>` 块

旧版 Apache 用 Allow from all，但 XAMPP 5.6+（含所有 Apache 2.4.x）已彻底弃用该语法。只要没在对应路径的 <Directory> 块里写 Require all granted，默认策略就是 Require all denied，直接 403。

打开 xampppacheconfextrahttpd-vhosts.conf，确保每个 <VirtualHost> 内，DocumentRoot 路径后紧跟一个同路径的 <Directory "你的路径"> 块
块内至少包含：Require all granted；建议补上 AllowOverride All（否则 .htaccess 不生效）和 Options FollowSymLinks
路径必须完全一致：大小写、盘符、斜杠方向（Windows 推荐正斜杠 "G:/www/project" 或双反斜杠 "G:wwwproject"），末尾不加 /
路径含中文或空格时，Apache 解析易出错，优先重命名为纯英文无空格（如 myapp）

`httpd-xampp.conf` 里的 `Require local` 是隐形拦截器

XAMPP 自带的安全围栏会硬性限制 /phpmyadmin、/xampp、/security 等路径，只允许 127.0.0.1 和 ::1 访问。哪怕你只是从本机另一个浏览器标签访问，也可能触发 403。

打开 xampppacheconfextrahttpd-xampp.conf
搜索 <LocationMatch "^/(?i:(?:xampp|security|licenses|phpmyadmin|))">
找到其中的 Require local 行，在前面加 # 注释掉（不要删）
若需保留基础防护，可替换为 Require ip 127.0.0.1 ::1 192.168.1（允许局域网）
改完必须重启 Apache，仅重载配置无效

顶层 `<Directory>` 配置可能覆盖你的虚拟主机设置

Apache 配置按顺序继承和覆盖。httpd.conf 里若有宽泛的 <Directory "/xampp/htdocs"> 块，且里面写了 Require all denied，它会压制你在 httpd-vhosts.conf 里写的任何宽松规则。

全局搜索 httpd.conf 中所有以 <Directory 开头的块
重点检查是否匹配你实际使用的路径（比如 /xampp/cgi-bin 或自定义项目路径）
若存在冲突，要么删掉该块内的 Require all denied，要么把整块复制到 httpd-vhosts.conf 并精准调整路径
特别注意：<Directory "/xampp/cgi-bin"> 在 XAMPP 5.6+ 中默认禁用全部访问，如果你项目放在 cgi-bin 下，必须单独放开

文件系统权限常被忽略，尤其在 macOS 和 Windows 上

Apache 进程必须对目录及其所有父级目录有「执行」权限（即能进入目录），否则连路径合法性校验都过不去。

macOS：Apache 默认以 daemon 用户运行，但你的项目在 /Applications/XAMPP/xamppfiles/htdocs 下可能属当前用户。编辑 httpd.conf，将 User 改为你的 macOS 用户名，Group 改为 staff
macOS 终端临时修复：cd /Applications/XAMPP/xamppfiles/htdocs && chmod -R 755 *（避免用 777，有安全风险）
Windows：Apache 通常以 SYSTEM 身份运行，确保项目目录及所有上级目录（如 G:）对 SYSTEM 有「遍历文件夹/执行文件」权限
杀毒软件（如 Windows Defender、火绒）可能拦截非标准路径读取，表现为 403 且日志无明确记录；临时关闭测试是否恢复