设置PHP网站文件权限需遵循最小权限原则，确保安全与功能平衡。1. PHP脚本设为644，避免777或755；2. 普通目录权限为755，上传目录如uploads/也设755但禁用PHP执行；3. 可写目录如cache/、storage/设750或755，归属www-data用户；4. 配置文件如config.php设600或640，置于Web根目录外；5. 所有权应合理分配，如chown -R user:www-data /var/www/html；6. 加固措施包括禁用777权限、定期检查权限、限制open_basedir、关闭危险函数，并在Apache或Nginx中禁止上传目录运行PHP。安全配置需持续维护，防范未然。
设置PHP网站文件权限是保障Web应用安全的重要环节。不合理的权限配置可能导致文件被非法修改、上传或执行恶意代码，尤其在共享主机或多用户环境中更需谨慎处理。以下为常见且安全的文件系统权限设置方法。
理解Linux文件权限基础
Linux系统中，每个文件和目录都有三类用户的权限：所有者（user）、所属组（group）、其他用户（others）。每类用户拥有三种权限：
- 读（r）：可查看文件内容或列出目录文件
- 写（w）：可修改文件或在目录中增删文件
- 执行（x）：可运行文件或进入目录
权限通常用数字表示，如755、644。例如：
- 7 = rwx（读+写+执行）
- 6 = rw-（读+写）
- 5 = r-x（读+执行）
- 4 = r--（只读）
PHP网站推荐权限设置
为兼顾功能与安全，应遵循最小权限原则。以下是通用建议：
立即学习“PHP免费学习笔记（深入）”；
1. PHP脚本文件（.php）
Teleport tsh SSH (Identity-First SSH Access, no passwords/static keys)
下载
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
- 权限设为 644
- 所有者为开发用户，Web服务器（如www-data）无需写权限
- 避免设为777或755，防止意外执行或被篡改
2. 目录权限
- 一般目录设为 755
- 确保Web服务器能读取和进入目录，但不能修改结构
- 上传目录（如uploads/）若需Web服务写入，可设为755，并确保父目录不具执行权限
3. 可写目录（如缓存、上传）
- 仅对必须的目录开放写权限，如cache/、storage/、uploads/
- 设为 755 或 750，由Web服务器用户拥有
- 禁用这些目录内的PHP执行（通过.htaccess或Nginx配置）
4. 配置文件（如config.php、.env）
- 设为 600 或 640
- 仅允许所有者读写，组或其他用户无访问权
- 放置于Web根目录之外更安全
所有权与用户组管理
合理设置文件所有者能进一步提升安全性：
- 开发文件归开发者用户所有，如 chown -R user:www-data /var/www/html
- Web服务器进程（如Apache/Nginx）以www-data用户运行
- 让特定目录归属于www-data以便写入，如：
chown www-data:www-data /var/www/html/storage
加固建议与最佳实践
- 避免使用777权限，这是安全隐患的常见来源
- 定期检查异常权限变更，可用脚本巡检
- 使用open_basedir限制PHP访问路径
- 关闭不必要的函数（如exec、system、eval）
- 上传目录禁止执行PHP：
Apache中添加：
<Files "*.php">
Order allow,deny
Deny from all
</Files> - Nginx中配置：
location ~* /uploads/.*\.php$ {
deny all;
}
基本上就这些。合理设置文件权限不是一次性的任务，应结合部署流程持续维护。安全虽繁琐，但远胜于事后补救。
