应将日志目录移出Web根目录，配置Web服务器禁止访问runtime路径，修复目录执行与写入权限，适配SELinux上下文，并清理旧日志及禁用敏感内容记录。
如果您在ThinkPHP项目中发现日志文件可被Web直接访问或写入失败，则可能是由于日志目录权限配置不当、路径位于Web根目录内或运行用户无对应权限所致。以下是解决此问题的步骤：
一、将日志目录移出Web根目录
此方法从根本上消除日志被HTTP请求读取的可能性，确保日志路径完全脱离Web服务器URI映射范围，是最安全的防护方式。
1、确认当前Web服务器root路径，例如Nginx中为root /var/www/myapp/public;，则Web可访问范围仅限public及其子目录。
2、将runtime目录整体迁移至与public同级的独立路径，如/var/www/myapp/runtime/。
立即学习“PHP免费学习笔记（深入）”；
3、修改config/log.php中的path配置项，使用绝对路径指向新位置：'path' => '/var/www/myapp/runtime/log/'。
4、执行chown -R www-data:www-data /var/www/myapp/runtime/（Ubuntu/Debian）或chown -R nginx:nginx /var/www/myapp/runtime/（CentOS/RHEL）。
5、设置目录权限为755：chmod 755 /var/www/myapp/runtime/，并确保log子目录存在且可写。
二、通过Web服务器配置禁止访问runtime目录
当因历史原因必须保留runtime在Web可访问路径下时，需借助Nginx或Apache显式拒绝所有对该路径的HTTP请求，防止目录遍历与文件下载。
1、Nginx环境下，在server块中root指令后、location ~ \.php$前添加以下配置：
2、location ^~ /runtime/ { deny all; }
3、location ~ ^/runtime/.*\.(log|txt|trace|swp|swo|lock)$ { deny all; }
4、Apache环境下，在虚拟主机配置中添加：<Directory "/var/www/myapp/runtime"> Require all denied </Directory>。
5、重启Nginx或Apache服务，并手动访问/runtime/log/xxx.log验证返回状态码为403 Forbidden而非404。
三、校验并修复日志路径写入权限链
PHP进程需对日志路径的每一级父目录均具备执行（x）权限才能进入并创建文件，缺失任一级x权限都将导致静默写入失败。
1、使用ps aux | grep php-fpm或<?php echo posix_getpwuid(posix_geteuid())['name']; ?>确认PHP实际运行用户。
2、逐级检查路径权限：ls -ld /var /var/www /var/www/myapp /var/www/myapp/runtime /var/www/myapp/runtime/log。
3、对每一级目录补全x权限（若缺失）：chmod a+x /var/www/myapp/runtime。
4、确保log目录属组可写：chmod g+w /var/www/myapp/runtime/log，并再次chown归属用户。
5、在日志配置中启用实时写入以暴露错误：'realtime_write' => true，避免缓冲掩盖失败。
四、启用SELinux上下文修复（仅限RHEL/CentOS）
SELinux可能拦截PHP进程对日志目录的写入操作，即使传统Linux权限正确，也会报Permission denied。
1、临时禁用SELinux验证是否为此原因：setenforce 0，再测试日志写入。
2、若恢复写入，说明SELinux策略生效，需重置上下文：chcon -R -t httpd_log_t /var/www/myapp/runtime/log。
3、永久生效需编辑/etc/selinux/config，但不建议关闭SELinux，应优先适配策略。
4、检查当前上下文：ls -Z /var/www/myapp/runtime/log，确认类型字段为httpd_log_t。
五、清理残留日志并禁用敏感内容记录
旧日志目录中可能仍存留含SQL语句、token或堆栈信息的明文文件，即使路径已迁移，也需主动清除；同时关闭非必要敏感字段落盘，降低泄露危害。
1、定位原日志路径（如public/runtime/log/或runtime/log/），执行rm -rf /path/to/old/runtime/log/*。
2、在config/log.php中关闭SQL与调试日志：'level' => ['error', 'info']，移除'sql'和'trace'。
3、禁用自动脱敏失效的默认行为，对Log::record()调用前手动过滤$_POST、$_SERVER['HTTP_AUTHORIZATION']等字段。
4、确认app_debug和app_trace在生产环境为false，避免框架自动注入调试信息。
