PHP-FPM用户权限不足本质是Web进程无法读代码、写缓存或日志，需按四步排查：先确认实际运行用户（ps aux | grep php-fpm），再重设目录属主（chown -R deploy:www-data .），然后安全放行可写目录（chmod -R 770 runtime/），最后校验并加固FPM池配置（user/group/process.umask）。
PHP-FPM用户权限不足，本质是Web进程无法读取代码、写入缓存或日志——不是改个chmod就能解决，关键在“谁在运行”和“谁该拥有”。下面按真实部署逻辑分四步走，顺序不能颠倒。
确认PHP-FPM实际运行用户
别猜，直接看进程。终端执行：
ps aux | grep -E 'php-fpm' | grep -v grep
重点看USER列（如www-data或nginx）。再验证该用户是否存在：
id -u www-data && id -g www-data
若提示“no such user”，说明服务未安装或用户被删，需先装对应包（如apt install php-fpm）或手动创建用户。
立即学习“PHP免费学习笔记（深入）”；
补充验证：新建whoami.php，内容为<?php echo posix_getpwuid(posix_geteuid())['name']; ?>，浏览器访问，结果必须与ps查到的用户一致。
重设项目目录所有权
所有权不匹配，权限再宽也没用。进入项目根目录后执行：
- chown -R deploy:www-data . —— deploy是你日常操作的普通用户，www-data是FPM组；组必须对齐，否则public下CSS/JS会403
- find . -type d -exec chmod 750 {} \; —— 目录统一750（所有者全权，组可进可读，其他无权）
- find . -type f -exec chmod 640 {} \; —— 文件统一640（所有者可读写，组只读，其他无权）
特别注意：public/目录需额外放开：
chmod 750 public、chmod 640 public/index.php、chmod -R 750 public/static
确保runtime等可写目录安全放行
cache、log、session等目录必须可写，但不能裸开。执行：
chmod -R 770 runtime/<br>find runtime/ -type f -exec chmod 660 {} \;
770保证deploy和www-data组成员都能读写，660防文件内容被其他用户读取。若用Laravel，同样处理storage/和bootstrap/cache/。
上传目录（如public/uploads）也照此逻辑：
chgrp www-data public/uploads && chmod 775 public/uploads
检查并加固PHP-FPM池配置
打开/etc/php/*/fpm/pool.d/www.conf（或对应站点池），确认以下三项：
- user = www-data
- group = www-data
- process.umask = 0002 —— 确保PHP新创建的文件默认为664/775，避免后续又出权限问题
改完执行：
sudo php-fpm8.0 -t && sudo systemctl reload php8.0-fpm
如果用宝塔面板，在网站→设置→PHP版本→PHP配置页里直接修改“运行用户”，保存后重启PHP服务即可生效。
