PHP源码搭建时文件权限是运行前提而非附加步骤；必须明确Web服务器执行用户（如www-data），统一归属后设目录755、PHP文件644、配置文件600/640、可写目录775，禁用777，部署后需验证权限与解析行为。
PHP源码搭建时，文件权限设置不是附加步骤，而是运行前提。权限配错，轻则报错“Permission denied”，重则导致配置文件被直接下载、缓存目录不可写、后台无法上传——这些问题几乎都源于所有权与权限位的错配。
明确PHP执行用户是谁
Web服务器以特定系统用户身份运行PHP脚本，这个用户必须对源码目录有读取权，对日志、缓存、上传等目录有写入权。常见情况如下：
- Apache（Debian/Ubuntu）：默认用户是 www-data
- Nginx + PHP-FPM：通常为 www-data 或自定义用户（如 nginx、php-fpm），需查
ps aux | grep php-fpm或 FPM 配置中的user和group - 本地开发（如XAMPP/MAMP）：可能是 daemon 或当前登录用户，但不推荐依赖此行为
确认后，用 chown -R www-data:www-data /var/www/your-app 统一归属，这是后续权限生效的基础。
目录与文件权限的黄金组合
权限数字不是随意选的，它对应明确的安全意图：
立即学习“PHP免费学习笔记（深入）”；
- 目录统一设为 755（rwxr-xr-x）：所有者可读写执行（进入+列目录），组和其他人仅可读+执行（能进不能改）
- PHP脚本文件设为 644（rw-r--r--）：防止被直接执行或意外写入，同时确保Web服务器能读取并解析
- 配置文件（如 config.php）建议 600 或 640：若含数据库密码，应禁止其他用户读取；640 表示组内用户（如运维）可读，其他人不可见
-
可写目录（如 uploads/、cache/、logs/）设为 775：所有者和所属组可读写执行，其他人仅可读执行；前提是Web用户属于该组（如
usermod -aG www-data deployer）
PHP代码中动态设权要谨慎
虽然 chmod() 可在脚本中调用，但它受制于PHP进程本身的权限上限，且易被忽略安全后果：
-
mkdir($path, 0755, true)中的 true 启用递归创建，适合初始化多级目录 -
file_put_contents()自动创建文件，但默认权限由系统umask决定（常为 0022 → 实际得 644），不建议依赖 - 写完文件后显式调用
chmod($file, 0644)是稳妥做法，但绝不要对普通文件用 0777 - 0777 仅在极特殊场景（如共享临时目录且无更好方案）下考虑，且该目录必须不在Web可访问路径内（如避开
public_html或htdocs）
验证与排查关键点
部署后快速检查是否到位：
- 用
ls -l查看关键文件权限和所有者，确认config.php不是 777、uploads/目录属组可写 - 在PHP中运行
echo posix_getpwuid(posix_geteuid())['name'] ?? 'unknown';确认当前执行用户 - 测试写操作：
file_put_contents('test.txt', 'ok')，失败则说明可写目录权限或归属不对 - 浏览器访问
config.php应返回500或空白（被解析失败），而非显示明文内容；若看到源码，说明Web服务器未解析PHP或文件权限过松（如被设为 777 且可执行）
