真正有效的细粒度权限锁定是让攻击者“能传上去，但跑不起来、读不到、出不去”：上传目录禁用脚本解析与执行位；真实文件存于Web根目录之外；上传层强制内容校验与重命名；遵循系统级ACL与最小权限原则。
不能靠 chattr +i 锁定 Web 根目录来防非法代码写入——它会直接导致网站功能瘫痪，且无法识别合法上传与恶意文件的区别。真正有效的细粒度权限锁定，是让攻击者“能传上去，但跑不起来、读不到、出不去”。
上传目录禁用脚本解析与执行位
这是最直接、见效最快的防线。恶意 PHP 文件即使被上传，只要服务器不解析它，就只是个普通文本。
-
Apache：在
/var/www/html/uploads/对应的<Directory>块中加入：php_flag engine off或AddHandler default-handler .php .phtml .php3 -
Nginx：在 server 配置中为上传路径添加精准拦截：
location ~ ^/uploads/.*\.php$ { return 403; } -
系统级加固：显式移除上传目录的执行权限：
chmod -x /var/www/html/uploads（确保该目录下所有文件默认无 x 权限）
真实文件存于 Web 根目录之外
从根本上切断攻击者通过 URL 直接访问上传文件的路径。Web 服务进程仍可读取，但浏览器无法直连。
- 将上传文件实际保存到如
/var/www/app-data/uploads/（不在/var/www/html下） - 前端只暴露安全路由，例如
/download?id=abc123 - 后端 PHP 脚本负责：校验用户权限 → 查找对应文件路径 → 读取内容 → 设置正确 Content-Type 后输出
- 这样即使攻击者上传了 shell.php，也无法通过
https://site.com/uploads/shell.php触发执行
上传处理层强制内容校验与重命名
不信任任何客户端传来的扩展名、MIME 类型或文件头伪装。必须服务端二次验证。
- 使用
finfo_file()或exif_imagetype()检查真实文件类型 - 只允许白名单类型（如
image/jpeg,application/pdf），其他一律拒绝 - 保存时强制使用随机哈希名（如
7a2f9e1d.pdf），丢弃原始文件名 - 数据库中记录原始名称、类型、存储路径、上传者等元数据，用于后续审计与展示
系统级 ACL 与最小权限原则
让 Web 进程只拥有它真正需要的权限，哪怕配置出错，破坏范围也有限。
- Web 服务运行用户（如
www-data）仅对/var/www/html及其子目录有r-x（读+执行）权限，禁止写入/etc、/root、/var/log等敏感路径 - 对上传目录单独设置 ACL，限制非必要组成员访问：
setfacl -m g:auditors:rx /var/www/html/uploads - 设置默认 ACL，确保新上传文件自动继承安全权限：
setfacl -d -m g:www-data:rw /var/www/html/uploads
