宝塔面板不提供目录级读写权限控制，需组合使用Web层访问限制（如密码验证）和Linux文件系统权限（如600）来防敏感文件泄露；推荐用【访问限制】加密目录、SSH收紧真实权限、手写.htaccess或Nginx规则封禁.env等文件。
直接结论：宝塔面板本身不提供“目录级读写权限控制”，它只管理 Linux 文件系统权限（chmod/chown）和 Web 层访问控制（如密码验证、IP 白名单），防止敏感文件泄露必须组合使用这两层，且关键文件（如 .env、config.php）要单独设为 600。
用宝塔【访问限制】给目录加密码验证
这是最常用、见效最快的 Web 层防护，适用于临时隔离测试页、后台入口、API 文档等路径。它不改变文件权限，而是让 Nginx/Apache 在响应前拦截请求并弹出基础认证框。
- 进【网站】→ 点击站点【设置】→ 左侧选【访问限制】→ 【添加】加密目录
- “加密目录”填相对路径，必须带开头斜杠，比如
/admin/或/api/v1/；填/会锁整个站，慎用 - 用户名密码建议不用常见组合（如
admin/123456），避免被字典爆破；密码位数 ≥8 位，含大小写字母+数字 - 该功能依赖
auth_basic模块（Nginx）或mod_auth_basic（Apache），宝塔默认已启用，无需额外安装
用终端命令收紧真实文件权限
Web 层密码只是第一道门，真正防泄露得靠 Linux 权限。宝塔文件管理器的批量设权容易漏掉深层文件，且无法处理符号链接或特殊文件类型，必须 SSH 手动加固。
- 先统一属主：
chown -R www:www /www/wwwroot/yourdomain.com/（确保 Web 进程能读，但其他用户不能碰） - 所有目录设为
755：find /www/wwwroot/yourdomain.com/ -type d -exec chmod 755 {} \; - 所有普通文件设为
644：find /www/wwwroot/yourdomain.com/ -type f -exec chmod 644 {} \; - 但以下文件必须单独降权：
.env、config.php、database.yml等配置类文件 → 改为600：chmod 600 /www/wwwroot/yourdomain.com/.env - 上传目录（如
uploads/）需保留写权限，但应禁用脚本执行：chmod -R 750 /www/wwwroot/yourdomain.com/uploads/+ 配合 open_basedir 限制
绕过宝塔图形界面：手写 .htaccess 或 Nginx 规则封死敏感后缀
宝塔的【访问限制】只支持路径前缀匹配，对 .env 这类隐藏文件无效。必须用服务器原生规则，在请求到达 PHP 前就拒绝响应。
- Apache 用户：在站点根目录新建
.htaccess，加入：Order Allow,Deny Deny from all <Files ".env"> Require all denied </Files> <Files "config.php"> Require all denied </Files> - Nginx 用户：进【网站】→ 【设置】→ 【配置文件】，在
server { }块内插入：location ~ /\.(env|git|sql|bak|swp|log)$ { deny all; }注意：Nginx 不识别.htaccess，必须改主配置 - 这类规则优先级高于 PHP 脚本，即使文件被意外放到 Web 可访问路径下，也不会返回内容
真正难防的是 CMS 插件自动创建的缓存目录、日志文件或调试接口，它们可能绕过常规权限检查。每次更新插件后，务必用 find /www/wwwroot/yourdomain.com/ -name "*.log" -o -name "debug.php" 快速扫描，并人工确认权限是否仍为 600 或已移出 Web 根目录。
