ThinkPHP报Permission denied八成是PHP进程用户缺乏目录x（执行）权限导致无法进入路径，而非runtime本身缺w权限；需逐级检查从根到runtime每层的owner/group/perm，确保PHP实际运行用户（如www-data、nginx等）对所有中间目录均有x权限，并正确设置runtime属主与755/644权限，禁用777。
ThinkPHP 报 Permission denied，八成不是 runtime/ 目录没写权限，而是 PHP 进程用户压根进不去那层目录——缺的是 x（执行）权限，不是 w（写）。
确认 PHP 进程实际运行用户
Web 服务器用谁跑 PHP，谁才真正拥有文件操作权。不能默认是 www-data 或 nginx，得实锤：
- 查进程：
ps aux | grep -E '(php-fpm|apache|httpd|nginx)'，看输出第一列的用户名（常见有www-data、nginx、apache、www） - 验证当前脚本用户：
<?php echo exec('whoami'); ?>，把这段丢进public/test.php浏览器访问，结果必须和上一步一致 - 注意：有些环境（如 Docker 或自编译 PHP）可能用的是自定义用户，比如
phpuser，别凭经验硬套
逐级检查路径可进入性（x 权限常被忽略）
Linux 下对目录来说，x = “能 cd 进去”，没有它，fopen('runtime/log/app.log', 'a') 必然失败，哪怕 runtime/ 本身权限是 777。
- 用
namei -l /var/www/html/runtime，它会列出从/到runtime每一级的 owner/group/perm —— 重点看每一行末尾有没有x（尤其是中间某层如/var/www/html） - 常见卡点：
/var/www所属是root:root且权限是755→ 对www-data用户只有r-x，没问题；但若它是750，而www-data不在root组里，就直接被拦在门外 - 修复方式不是给
runtime加权限，而是确保从根到目标路径每层对 PHP 用户都有x：要么chown整条路径，要么用chmod o+x（慎用）或 ACL 补充
正确设置 runtime 目录权限（别碰 777）
chmod 777 runtime/ 是懒人解法，生产环境会被 SELinux、容器安全策略或主机防护直接拒绝，还留后门。
立即学习“PHP免费学习笔记（深入）”；
- 推荐做法：
sudo chown -R www-data:www-data /path/to/thinkphp/runtime（用户名按上一步确认的来） - 再补权限：
sudo chmod -R u+rwX,g+rwX,o-rwx /path/to/thinkphp/runtime（注意是大写X：只对目录和已有 x 位的文件加执行权，更安全） - 子目录如
runtime/log、runtime/cache要单独验证：ls -ld runtime/log，确保它们继承了父目录的组和权限；若没继承，手动chmod g+rwx runtime/log - 如果开发用户（如
deploy）也要编辑代码，又不想把整个项目chown给www-data，就用 ACL：sudo setfacl -R -m u:www-data:rwx /path/to/thinkphp/runtime+sudo setfacl -R -d -m u:www-data:rwx /path/to/thinkphp/runtime（-d确保新文件自动继承）
别漏掉 open_basedir 和 SELinux
权限全对，还是报错？这两处经常背锅。
-
open_basedir在php.ini或 Nginx 的fastcgi_param里配置，例如open_basedir = /var/www/html:/tmp。如果runtime在/data/runtime，但没加进去，就会拦截——临时注释该行测试是否恢复 - SELinux 启用时（CentOS/RHEL 默认开），即使权限全对也会拦截。先
sudo setenforce 0临时关闭，若问题消失，说明是它：用sudo chcon -R -t httpd_sys_rw_content_t /path/to/thinkphp/runtime授权，或永久改/etc/selinux/config - 容器环境（如 Docker）要注意：宿主机挂载的目录，UID/GID 是否和容器内 PHP 用户匹配；Alpine 镜像默认没装
acl包，setfacl会报 command not found
最易被忽略的点：你以为改了 runtime/ 就完事，其实 /var/www/html 这一层的 group 权限没开，或者 open_basedir 把路径截断了——错误日志里写的 Permission denied，和你想象的“没写权限”根本不是一回事。
