关于 favicon.ico 显示 403 Forbidden 错误的问题分析与解决方案

问题描述

在访问 OpenUBMC 系统的 Web 界面时，浏览器无法正常加载 favicon.ico 文件，控制台报出 403 Forbidden 错误。开发者工具截图显示：

• 请求 URL：https://192.168.2.100/favicon.ico
• 请求方法：GET
• 状态代码：403 Forbidden
• 响应内容为空，仅返回 22 字节的 HTML 内容
• Content-Security-Policy 限制了资源加载策略

此外，同类定制图片文件（如 login_logo.png、img_01.png）也出现相同错误，说明问题并非单一文件导致。

根本原因分析

1. 权限不足导致 403 错误

根据知识库中的 Document Chunks 和 Knowledge Graph 数据，403 Forbidden 错误在 OpenUBMC 系统中常见于以下情况：

403 Response Code 表示服务器理解请求，但拒绝授权 —— 即 客户端没有足够权限访问目标资源。

具体到本案例：

• 多个图像资源（favicon.ico, login_logo.png, img_01.png）均返回 403。
• 错误发生在静态资源访问路径 /extern/custom/ 下。
• 日志中明确记录：GET https://192.168.2.100/extern/custom/favicon.ico 403 (Forbidden)

2. 文件系统权限配置错误

来自 Document Chunk 1 和 2 的信息指出：

“咨询PAE回复结果为：930清白牌包影响导致，规避方案为 telnet 进入修改存放白牌文件夹权限为 apache:apache，1230修复。”

这表明：

• 白牌包（品牌定制包）更新或构建后未正确设置文件属主。
• Web 服务运行用户为 apache，若文件所有者不是 apache 或未赋予读取权限，则无法访问。
• 此问题是 已知缺陷，影响版本包括通过 bmcgo build 构建的 2509 版本 HPM 包。

3. Content Security Policy（CSP）限制

响应头中包含严格的 CSP 策略：

Content-Security-Policy: script-src 'self' 'unsafe-eval'; img-src 'self'; ...

虽然此策略主要限制脚本执行，但如果资源路径重定向或跨域引用，也可能间接引发加载失败。不过当前错误为 403 而非 CSP 拒绝，因此 CSP 不是主因。

相关实体与配置关系

这些文件通过 HPM 包升级方式部署，路径由 filelist.conf 固定定义，并通过 manifest.yml 打包进 wbd_output.zip。

解决方案

临时规避方案（立即生效）

通过 Telnet 或 SSH 登录 BMC 系统，手动修改文件权限和属组：

# 进入自定义资源目录
cd /data/opt/pme/web/custom

# 修改所有白牌资源属主为 apache:apache
chown -R apache:apache /data/opt/pme/web/custom/
chown apache:apache /data/opt/pme/web/htdocs/favicon.ico

# 确保可读权限
chmod 644 /data/opt/pme/web/custom/*
chmod 644 /data/opt/pme/web/htdocs/favicon.ico

注意：确保以 root 权限执行以上命令。

长期修复方案（构建阶段修复）

在构建 HPM 白牌包时，确保打包脚本自动设置正确的权限：

方法一：更新 afteraction.sh

在 manifest.yml 引用的 afteraction.sh 脚本中添加权限修复逻辑：

#!/bin/sh
# afteraction.sh

# 设置白牌文件正确权限
chown -R apache:apache /data/opt/pme/web/custom/
chown apache:apache /data/opt/pme/web/htdocs/favicon.ico
chmod 644 /data/opt/pme/web/custom/*
chmod 644 /data/opt/pme/web/htdocs/favicon.ico

echo "White-label files permission fixed."

方法二：在 CI/CD 流程中集成验证

在构建流程中加入检查步骤：

- name: Validate file permissions
  run: |
    find output_dir -name "*.png" -o -name "*.ico" | xargs ls -l
    # 添加自动化检测文件权限是否为 apache:apache

验证方法

1. 浏览器验证

刷新页面，F12 打开开发者工具 → Network 标签，确认：

• favicon.ico、login_logo.png 等请求状态码为 200 OK
• 图标正常显示

2. 命令行验证

在 BMC 终端执行：

ls -l /data/opt/pme/web/htdocs/favicon.ico
# 输出应类似：-rw-r--r-- 1 apache apache 645 ... favicon.ico

建议总结

该问题是已知问题（参考社区讨论 topic/3991），预计在后续版本 1230 修复，目前建议使用上述方案规避。