ThinkPHP日志写入失败主因是路径不一致与权限配置错误：需先用Log::getLogPath()确认CLI/Web实际路径是否统一，再根据Web用户（如www-data）设置runtime/log目录属组、setgid及log.php中create_permission=0664和realtime_write=true。
ThinkPHP项目在Linux服务器上运行时，模型训练或预测过程产生的日志文件无法写入runtime/log/目录，页面空白、CLI报错“Permission denied”或日志目录下始终无新文件生成，说明权限链在跨用户（如root执行迁移/命令 vs www-data处理HTTP请求）或跨环境（CLI/FPM/Swoole）场景中已断裂。
确认日志路径与PHP进程真实身份
这一步不能跳过——ThinkPHP的log.php里写的相对路径runtime/log/在CLI和Web下解析位置完全不同，而权限问题往往始于路径错位。先用一行代码锁定实际写入点：
在项目根目录新建check_log_path.php，写入<?php echo \think\facade\Log::getLogPath(); ?>，通过浏览器和CLI分别访问，记录两个输出路径是否一致。
执行ps aux | grep php-fpm，观察USER列；若为www-data，说明Web请求由该用户执行；若为nginx，后续所有chown操作必须匹配该用户。注意：Docker容器内需额外检查id -u与宿主机挂载卷UID是否一致，不一致时chown无效。
【关键前提】若CLI输出路径是/root/myapp/runtime/log/而Web输出是/var/www/myapp/runtime/log/，说明配置未统一，必须先修正log.php中的path项为绝对路径，否则后续权限操作全无意义。
立即学习“PHP免费学习笔记（深入）”；
设置runtime/log目录的属主与组继承机制
方法一：基础归属修正（适用于单用户Web服务）
以Ubuntu/Debian系统为例，若Web用户为www-data，执行：sudo chown -R www-data:www-data /var/www/myapp/runtime/log。
CentOS/RHEL则替换为sudo chown -R nginx:nginx /var/www/myapp/runtime/log。
方法二：多用户协同场景（CLI用户与Web用户不同）
例如部署用户为ubuntu，Web用户为www-data，此时不能只chown给www-data——CLI脚本（如php think model:train）会以ubuntu身份创建文件，导致www-data无法追加写入。
正确做法是统一属组并启用setgid：
① sudo chgrp -R www-data /var/www/myapp/runtime/log
② sudo chmod -R g+rwX /var/www/myapp/runtime/log
③ sudo chmod g+s /var/www/myapp/runtime/log
执行完后，ls -ld /var/www/myapp/runtime/log应显示drwxrwsr-x（末位s表示setgid生效），此后所有新生成子目录自动继承www-data组。
方法三：强制CLI用户加入Web组（快速验证）
执行sudo usermod -a -G www-data ubuntu，然后退出终端重新登录，再运行groups确认www-data已出现在输出中。这步能绕过部分因组权限缺失导致的首次写入失败。
配置log.php驱动参数确保文件级权限可控
打开config/log.php，定位到file驱动配置块，在'path'下方添加两行关键参数：
'create_permission' => 0664,
'realtime_write' => true,
'create_permission'控制ThinkPHP自身创建.log文件时的权限掩码，0664即-rw-rw-r--，确保组用户可写、其他用户只读；若不设此项，文件默认按系统umask（常为0022）生成，结果是-rw-r--r--，www-data组成员无法写入。
'realtime_write' => true强制每次Log::write()立即落盘，关闭缓冲机制。调试阶段必须开启——否则日志看似没写入，实则是缓存在内存里，掩盖了真实的权限拒绝错误。
【易错点】不要在log.php里用ROOT_PATH . 'runtime/log/'拼接路径，该常量在Swoole长连接或某些CLI模式下可能未初始化，应改用realpath(__DIR__ . '/../runtime/log/') . DS动态计算绝对路径。
SELinux或安全模块拦截排查
仅限CentOS/RHEL系且sestatus显示enabled的环境。
先临时禁用SELinux验证是否为元凶：sudo setenforce 0，再触发一次日志写入；若成功，立即执行sudo setenforce 1恢复，并修复上下文：
sudo chcon -R -t httpd_log_t /var/www/myapp/runtime/log。
此操作将日志目录标记为“HTTP守护进程可写日志区域”，SELinux策略允许httpd/nginx进程对该路径执行写操作。不执行此步，chmod和chown再正确也会被拦截。
Ubuntu/Debian默认不启用SELinux，此步可跳过。
验证与清理残留文件
第一步：清空现有日志文件避免干扰
sudo find /var/www/myapp/runtime/log -name "*.log" -delete
第二步：确保父目录具备x权限
逐级执行ls -ld /var/www /var/www/myapp /var/www/myapp/runtime /var/www/myapp/runtime/log，每级输出的权限字段第三位（other位）不必是x，但**group位必须含x**（即750、755、775等），否则www-data组无法cd进入子目录。若发现某级为740，则执行sudo chmod 750 /var/www/myapp补上group x位。
第三步：用Web请求和CLI各触发一次日志写入
访问一个会调用Log::write()的接口，再执行php think test:log（假设你写了该命令），随后检查ls -l /var/www/myapp/runtime/log，确认两个.log文件均存在且属组为www-data、权限为-rw-rw-r--。
