ThinkPHP写入runtime失败的根源是用户属主错配或SELinux/AppArmor拦截，而非单纯权限数值问题；须确认PHP-FPM运行用户并设为runtime目录属主，再配755/644权限，SELinux环境需用semanage配置httpd_sys_rw_content_t上下文。
ThinkPHP写入runtime目录失败，chmod 755还是报错？
Linux下ThinkPHP启动时提示mkdir(): Permission denied或file_put_contents(): failed to open stream，不是权限不够，而是权限“太够”——777反而可能触发SELinux或Web服务器（如Nginx+PHP-FPM）的上下文限制。真正该设的是755（目录）和644（文件），且必须确保运行PHP的用户（如www-data或nginx）对runtime/及其子目录有属主权限。
- 先查PHP实际运行用户：
ps aux | grep php-fpm或看php-fpm.conf里的user配置项 - 再改属主：
sudo chown -R www-data:www-data runtime/（把www-data换成你环境的实际用户） - 最后设权限：
find runtime/ -type d -exec chmod 755 {} \;和find runtime/ -type f -exec chmod 644 {} \; -
777在多数生产环境会被Nginx/PHP-FPM主动拒绝写入（尤其启用了security.limit_extensions或open_basedir时）
为什么chmod 755后仍提示“Permission denied”？
常见于CentOS/RHEL系系统，根本原因常是SELinux策略拦截，而非传统文件权限问题。错误日志里若出现avc: denied { write }，基本可锁定为SELinux。
- 临时验证：执行
sudo setenforce 0（关闭SELinux），再试写入；若成功，说明就是它 - 永久修复（推荐）：
sudo semanage fcontext -a -t httpd_sys_rw_content_t "/path/to/thinkphp/runtime(/.*)?"，然后sudo restorecon -Rv /path/to/thinkphp/runtime - 不建议直接禁用SELinux，它在生产环境是重要安全层；
chcon命令只临时生效，重启后丢失 - Ubuntu/Debian默认不用SELinux，但可能启用AppArmor，查日志用
dmesg | grep apparmor
Apache vs Nginx + PHP-FPM：用户权限处理差异
Apache通常以www-data用户跑整个进程，而Nginx + PHP-FPM是分离架构：Nginx用www-data，PHP-FPM却可能配成nginx或apache用户。runtime目录必须归属PHP-FPM实际使用的用户，否则Nginx能读、PHP写不了。
- 确认PHP-FPM用户：看
/etc/php/*/fpm/pool.d/www.conf中的user和group字段 - 若Nginx和PHP-FPM用户不同，
runtime/不能只给Nginx用户权限，必须给PHP-FPM用户属主 - 不要用
chmod 777掩盖用户错配——它只是让所有用户都能写，但违反最小权限原则，且某些主机商（如cPanel）会自动拦截 - PHP-FPM的
clear_env = no有时会影响getenv()读取路径，间接导致runtime路径解析错误，需同步检查
ThinkPHP 6+ 的runtime路径可配置，但别乱动
TP6起支持通过config/app.php里的runtime_path重定义路径，看似灵活，实则引入新风险：一旦指向非项目根目录下的路径（如/var/tmp/thinkphp_runtime），就完全脱离项目权限体系，必须单独处理属主和SELinux上下文。
立即学习“PHP免费学习笔记（深入）”；
- 修改后务必用
php think clear:runtime清空旧缓存，否则仍可能写入原目录并报错 - 绝对路径要确保PHP用户对该路径有完整读写权限，且父目录不能是
noexec或nosuid挂载选项 - 容器环境（Docker）中，宿主机映射的volume权限更复杂，建议在Dockerfile里用
USER指令提前切换用户，而非靠chmod补救 - Windows WSL或Mac M1本地开发时，NTFS/macOS APFS文件系统不支持Linux权限位，
chmod无效，需用WSL2的ext4分区或Docker Desktop的权限透传
最麻烦的从来不是755还是777，而是谁在写、在哪写、用什么上下文写——这三个问题没对齐，调权限只是反复碰壁。
