Apache进程在Windows 7下默认以Local System账户运行，对应NTFS权限中的NT AUTHORITY\SYSTEM；需手动为其授予项目目录的“读取和执行”及必要时的“写入”权限，且必须通过“高级→立即查找”添加该内置主体，并设置“应用于：此文件夹、子文件夹和文件”。
Windows 7 搭建 PHP 环境后，项目文件夹若要被 Apache 正确读取、执行（尤其是 include、require、file_get_contents 等操作），必须确保 Apache 进程（通常是 SYSTEM 或 Local System 账户）对项目目录有**读取+执行**权限；若涉及文件上传、缓存写入（如 session.save_path、opcache.file_cache），还需**写入**权限。仅靠“共享此文件夹”或“Everyone 全允许”远远不够，甚至会引发 500 错误或 Warning: failed to open stream。
Apache 进程实际运行账户是什么？
Windows 7 下，Apache 默认以 Local System 账户运行（非当前登录用户，也非 Administrators）。这个账户在 NTFS 权限体系中表现为 SYSTEM，它不继承用户组权限，也不受“简单文件共享”影响——所以你给自己的账户设了完全控制，Apache 依然可能被拒绝访问。
验证方式：打开任务管理器 → “详细信息”选项卡 → 找到 httpd.exe 进程 → 右键“转到服务”，查看对应服务名（如 Apache2.2）→ 在“服务”管理器中右键该服务 → “属性” → “登录”选项卡 → 查看“此账户”字段。绝大多数情况显示为 Local System account。
因此，权限设置目标很明确：必须显式授予 SYSTEM 对项目目录的 NTFS 权限。
立即学习“PHP免费学习笔记（深入）”；
为什么“安全”选项卡里找不到 SYSTEM？
常见现象：打开项目文件夹属性 → “安全”选项卡 → 点击“编辑” → “添加” → 输入 SYSTEM → 提示“找不到对象”。这不是系统故障，而是因为默认搜索范围只包含当前计算机的用户和组，而 SYSTEM 是内置安全主体，需手动指定位置。
- 点击“添加”后，不要直接输
SYSTEM，先点“高级” → 再点“立即查找” - 在搜索结果列表中，向下滚动，找到名为
NT AUTHORITY\SYSTEM的条目（不是SYSTEM单独一行） - 双击选中它，回到权限窗口，勾选“读取和执行”、“列出文件夹内容”、“读取”；如需写入（上传、日志、缓存），再勾选“写入”
- 务必在下方“应用于”下拉菜单中选择“此文件夹、子文件夹和文件”，否则子目录和 PHP 文件仍可能无权访问
PHP 项目文件夹能否直接设为 Everyone 完全控制？
能，但不推荐，尤其在非隔离开发环境（如公司内网、多用户共用机器）中风险明显：
-
Everyone包含所有用户，包括 Guest、网络来宾账户，一旦 Samba 或共享配置疏漏，可能暴露源码（如.php文件未被 Apache 解析而直接下载） - Apache 若因配置错误降权运行（如改用
apache用户），Everyone权限无法覆盖其缺失的特定能力（如SeChangeNotifyPrivilege），反而掩盖真正问题 - 与后续部署逻辑冲突：生产环境通常禁用
Everyone，本地过度依赖会导致权限模型失真，上线前易遗漏修复
更稳妥的做法是：只加 SYSTEM（保障 Apache 运行） + 当前开发用户（方便你手动改文件） + 必要时加 IIS_IUSRS（虽 Win7 默认不用，但某些 PHP 集成包会触发该组）。
共享文件夹后 PHP 仍报 Permission denied？
这是典型混淆“共享权限”和“NTFS 权限”的结果。Windows 的双重权限模型意味着：即使网络共享设置了 Everyone 读取，只要 NTFS 层没给 SYSTEM 权限，Apache 进程照样打不开文件。
排查步骤：
- 确认报错是否发生在 PHP 脚本内部（如
fopen()、include()），而非浏览器访问时的 403/404 —— 前者是 NTFS 权限问题，后者才是共享或 Apache 配置问题 - 检查 Apache 错误日志（
logs/error.log），真实错误常含Permission denied或failed to open stream，并附带具体路径 - 临时将项目目录移到
C:\php\www这类 Apache 默认 DocumentRoot 下，测试是否正常 —— 若正常，说明原路径 NTFS 权限未生效 - 避免使用符号链接（
mklink）指向其他卷或用户目录，Apache 在 Windows 上对符号链接的权限处理不稳定，容易绕过 NTFS 设置
最简验证法：用管理员身份运行命令提示符，执行 icacls "D:\myproject" /verify，看输出中是否有 BUILTIN\SYSTEM:(OI)(CI)(RX)（表示 SYSTEM 对该目录及子项有读取+执行权限）。没有就补上：icacls "D:\myproject" /grant "NT AUTHORITY\SYSTEM:(OI)(CI)RX"。
