日志目录权限必须由操作系统显式设置，FrankenPHP 不创建或修正权限；若父目录不可写、不可进入（缺x权限）或属主不匹配，会导致“permission denied”、静默丢日志或启动失败。
日志目录权限必须由操作系统层面显式设置，FrankenPHP 自身不创建或修正目录权限 —— 错误的权限会导致启动失败、静默丢日志或被拒绝写入。
为什么日志目录权限容易出问题
FrankenPHP 启动后，Caddy 引擎会尝试以进程运行用户（如 www-data）身份打开并追加写入日志文件。如果父目录不可写、不可进入（缺少 x 权限），或属主不匹配，就会报错：open /var/log/frankenphp/access.log: permission denied 或直接静默跳过日志输出。常见于手动创建目录后只改了文件权限、忘了目录本身。
设置日志目录权限的正确步骤
假设你计划把日志存放在 /var/log/frankenphp/：
- 先创建目录：
sudo mkdir -p /var/log/frankenphp - 确认 FrankenPHP 运行用户（查
ps aux | grep frankenphp或 systemd service 文件中的User=）—— 常见为www-data；若用 root 启动则不推荐，应避免 - 设属主和基础权限：
sudo chown www-data:www-data /var/log/frankenphp且sudo chmod 755 /var/log/frankenphp - 注意：755 是安全下限 ——
www-data需要r-x（进入+读）才能遍历目录，w权限只需给文件，不需给目录（否则可能被篡改） - 验证是否可写：
sudo -u www-data touch /var/log/frankenphp/test.log && sudo -u www-data rm /var/log/frankenphp/test.log，成功即表示权限就绪
logrotate 配置中 create 指令的权限陷阱
如果你用 /etc/logrotate.d/frankenphp 管理轮转，其中 create 644 www-data www-data 只控制新日志文件的权限，**不影响目录本身**。这意味着：
立即学习“PHP免费学习笔记（深入）”；
- 即使
access.log文件是 644，若/var/log/frankenphp/是 750 且组不是www-data，logrotate 仍无法创建新文件 - 不要设目录为 777 或 775 —— 组可写等于开放写入口，攻击者可替换日志文件或注入符号链接
- 若系统启用了 SELinux，还需确保上下文正确：
sudo semanage fcontext -a -t var_log_t "/var/log/frankenphp(/.*)?"，再sudo restorecon -Rv /var/log/frankenphp
容器或 systemd 场景下的特殊处理
在非标准部署中，权限逻辑不变，但路径和用户可能不同：
- Docker：挂载日志目录时用
chown参数，例如-v $(pwd)/logs:/var/log/frankenphp:z，并确保容器内用户 UID 匹配宿主机www-data（通常是 33） - systemd：若 service 文件中写了
DynamicUser=yes，则不能预设/var/log/frankenphp的属主，应改用StateDirectory=frankenphp让 systemd 自动管理目录生命周期 - 单文件前台运行（
./frankenphp run）：日志默认走 stdout/stderr，此时无需磁盘目录 —— 但交付客户前必须禁用该模式，改用output file显式落盘，否则日志不可持续
最常被忽略的一点：目录的 x 权限不是可选项，而是 POSIX 要求 —— 没有它，进程连 open() 都会失败，报错却可能只显示“permission denied”而掩盖真实原因。
