ThinkPHP权限配置需先确认Web进程用户（如www-data、nginx），再chown runtime目录并设755权限，log子目录加g+w、日志文件设640，上传目录禁PHP执行，代码配置文件设644，SELinux环境需chcon -t httpd_log_t。
ThinkPHP项目运行时频繁生成缓存、写入日志、处理上传文件，一旦文件读写权限配置错误，轻则报错“failed to open stream: Permission denied”，重则导致日志无法记录、缓存失效、上传被拦截甚至敏感文件被恶意读取。必须按角色、按目录、按文件粒度逐级控制读写能力。
确认Web服务器实际运行用户
权限问题的根源往往不是数字设错，而是用户归属不匹配。PHP进程若以www-data身份运行，而runtime目录属主是root，哪怕chmod 777也写不进去。
执行ps aux | grep -E '(php-fpm|nginx|apache)' | grep -v grep，观察输出第一列的用户名（常见为www-data、nginx、apache或www）。
若看到www-data，说明Nginx/Apache由该用户驱动；若看到nginx，则需用该用户；若显示root，必须立刻整改——【Web服务绝不能以root身份运行】。
立即学习“PHP免费学习笔记（深入）”；
记下这个用户名，后续所有chown操作都以此为准。
设置runtime目录整体权限与归属
runtime是ThinkPHP最核心的可写目录，缓存、日志、临时文件全在此处生成。它必须同时满足：Web进程可写、其他用户不可越权访问、子目录继承一致策略。
方法一：一步到位修复归属与目录权限
sudo chown -R 【替换为你查到的用户名】:【同上用户名】 /path/to/your/project/runtime && sudo chmod -R 755 /path/to/your/project/runtime
方法二：分步校验式操作
① 先统一归属：sudo chown -R www-data:www-data runtime/
② 再设目录权限：sudo chmod -R 755 runtime/
③ 单独放开log子目录写权限：sudo chmod -R g+w runtime/log/
④ 最后收紧已生成日志文件权限：find runtime/log -name "*.log" -exec chmod 640 {} \;
注意：第④步不可省略——640确保只有属主和属组能读，其他用户完全无权访问日志内容，防止敏感信息泄露。
隔离上传目录与静态资源权限
public目录下的upload或storage子目录用于接收用户上传，必须与代码目录严格分离，且禁止执行任何PHP脚本。
进入public目录，执行：sudo chmod 755 upload/（或storage/）
接着禁用该目录内所有PHP文件的执行权限：find upload/ -name "*.php" -exec chmod 644 {} \;
public/下的入口文件index.php必须保持644权限，不能设为755——【可执行权限对PHP脚本毫无意义，反而增加被直接执行的风险】。
锁定应用代码与配置文件只读权限
app/、config/、extend/等目录存放的是业务逻辑与配置，运行中无需写入。开放写权限等于给攻击者留后门。
执行：sudo find app/ -type f -exec chmod 644 {} \;
执行：sudo find config/ -type f -exec chmod 644 {} \;
执行：sudo chmod 644 .env（如果使用环境变量文件）
这三步做完，所有PHP源码和配置文件将仅允许Web进程读取，彻底杜绝运行时被篡改的可能性。
SELinux环境下追加上下文类型（CentOS/RHEL专属）
在启用SELinux的系统中，即使传统权限和归属全部正确，日志仍可能写入失败——这是安全策略在拦截，不是权限数字错了。
先验证是否SELinux导致：sudo setenforce 0，然后测试日志能否生成。若恢复，立即执行：sudo setenforce 1 并继续下一步。
为runtime/log目录赋予HTTP日志写入许可：sudo chcon -R -t httpd_log_t /path/to/your/project/runtime/log
这条命令不会修改chmod值，但告诉SELinux：“允许httpd进程往这里写日志”。没有它，在CentOS上永远写不进log。
