ThinkPHP生产环境必须禁止runtime以外目录的写入权限，因app、config等目录可写会导致恶意PHP文件被解析执行；public目录可写则引发.htaccess覆盖和资源劫持风险。
生产环境的 ThinkPHP 应该禁止 runtime 以外目录的写入权限，且 runtime 目录必须由 Web 进程用户独有、不可执行。
为什么不能给 public 或 app 目录加写权限
ThinkPHP 在运行时不会向 app、config、controller 等应用目录写入任何文件；若这些目录可写，攻击者上传恶意 PHP 文件后可能被直接解析执行（尤其当服务器配置不当、未禁用 .php 在非 public 目录的执行时）。public 目录虽为 Web 入口，但仅应允许读取和脚本执行，写入权限会带来 .htaccess 覆盖、前端资源劫持等风险。
- 常见错误现象：
chmod -R 777 ./或把整个项目设为www-data:www-data - 正确做法：除
runtime外，所有目录设为755，所有 PHP/配置文件设为644 - Web 进程用户（如
www-data或nginx）只需对runtime有读写权，无需对其他目录拥有写或执行权限
runtime 目录权限设置的具体命令与验证方式
ThinkPHP 的 runtime 是唯一需要动态写入的目录（缓存、日志、模板编译等），但它绝不能被 Web 请求直接访问，也不能允许执行其中的 PHP 文件。
- 确保
runtime所在路径不被 Web 服务器映射：检查 Nginx/Apache 配置中是否禁用了对该路径的 location 访问（例如 Nginx 中应有location ^~ /runtime/ { deny all; }） - 设置属主和权限：
chown -R www-data:www-data runtime<br>chmod -R 750 runtime<br>find runtime -type f -exec chmod 640 {} \; - 验证是否生效：用 Web 用户（如
sudo -u www-data ls -l runtime/log/）确认可写，同时用浏览器访问https://yoursite.com/runtime/test.php应返回 403 或 404
ThinkPHP 自带的 checkRuntime 检查会掩盖真实权限问题
ThinkPHP 启动时调用 think\facade\App::checkRuntime()，它只检测 runtime 是否可写，不校验是否可执行、是否被 Web 直接暴露、是否属主正确。这意味着即使你误将 runtime 设为 777 或放在 public 下，框架仍能“正常启动”，但已埋下严重安全隐患。
立即学习“PHP免费学习笔记（深入）”；
- 该函数不会报错，也不会记录警告——它只是静默创建目录并返回
true - 真正要检查的是：Web 进程能否在不依赖其他用户权限的前提下独立完成写入（即不靠
umask补救、不靠组权限兜底） - 推荐在部署脚本中加入校验：
test -w runtime && test ! -x runtime && [ "$(stat -c '%U:%G' runtime)" = "www-data:www-data" ] || exit 1
最常被忽略的一点：很多运维习惯性给整个 runtime 加 755，却没意识到子目录（如 runtime/cache/）里的 PHP 编译文件一旦被 Web 请求命中，就可能因服务器配置疏漏而被执行——所以 runtime 下的 .php 文件权限必须是 640，且 Web 服务器必须明确拒绝该路径下的所有脚本执行。
