Web进程报Permission denied主因是属主不匹配，须先用ps aux查真实运行用户（如www-data），再用sudo -u www-data ls -l验证权限，最后chown/chgrp修正归属并确保目录有x位及setgid位。
Web 进程报 Permission denied，属主不匹配是最常见也最容易被忽略的根因。不是权限数字太小，而是“跑服务的人根本没资格碰这个目录”。排查必须从进程身份出发，一层层对齐。
查清 Web 进程真实运行用户
别猜，直接看系统正在用谁跑服务：
- 执行 ps aux | grep -E '(nginx|apache|httpd|php-fpm)'，重点看 USER 列（如
www-data、nginx或apache） - 确认主进程和工作进程是否一致：php-fpm 可能 master 是 root，worker 是 www-data；nginx 主进程常为 root，worker 是 nginx —— 真正读写文件的是 worker 进程
- 用 sudo -u www-data ls -l /path/to/dir 模拟该用户操作，看是否真报错
检查目标目录的归属与权限结构
用 ls -ld 看目录本身，不是里面文件：
-
属主（第三列）：是否等于你刚查到的服务用户？比如目录属主是
root，但进程是www-data→ 不匹配 - 属组（第四列）：是否包含该服务用户所在组？用 id www-data 查它属于哪些组
-
权限位（第一列）：目录必须有
x（执行位）才能进入和遍历，drwxr-xr-x合理，drw-r--r--就进不去
按需修正归属，避免盲目 chmod
改所有权比加宽权限更安全、更治本：
- 如果目录应由 Web 用户完全管理：sudo chown -R www-data:www-data /var/www/html/storage
- 如果属主不能动（如系统目录），优先改属组：sudo chgrp -R www-data /var/www/html/runtime，再补组写权：sudo chmod -R g+w /var/www/html/runtime
- 确保新建文件继承组：sudo chmod g+s /var/www/html/runtime（设 setgid 位）
验证并排除隐藏拦截
即使归属和权限都对了，仍可能失败：
- 查 SELinux 是否拦截：ls -Z /var/www/html/storage，正常 Web 写目录上下文应为
httpd_sys_rw_content_t（Apache）或httpd_sys_rw_content_t（Nginx） - 检查挂载选项：mount | grep $(df . | tail -1 | awk '{print $1}')，确认没有
ro（只读）标识 - PHP 应用还要看 open_basedir 是否限制了路径，检查 php.ini 或 vhost 配置
