PermissionError: [Errno 13] Permission denied本质是Linux内核拒绝访问，需先检查报错路径归属与权限（如/usr/local/lib/属root）、进程占用（lsof）、避免sudo pip，优先用--user或venv，并排查SELinux等安全策略拦截。
看报错路径，先确认是不是系统受保护目录
PermissionError: [Errno 13] Permission denied不是Python的问题，而是Linux内核拒绝了你的访问请求。关键线索藏在错误信息末尾的路径里——比如/usr/local/lib/python3.11/dist-packages/、/etc/nginx/conf.d/或/var/log/myapp/。这些路径通常属root所有，普通用户只有读权限（drwxr-xr-x），写操作必然失败。
立刻执行：ls -ld /path/from/error 查看目录权限和归属；再用ls -l /path/from/error/filename确认具体文件权限。如果属主是root且你不在对应组里，就别硬改权限，优先换路径。
检查进程占用和锁状态
有时文件明明有写权限，却仍报PermissionError，大概率是被其他进程锁住了。Linux下没有Windows那种强文件句柄锁，但以下情况仍会触发权限拒绝：
- 另一个Python进程正用
open(..., 'w')打开该文件且未关闭（尤其没用with语句） - 日志轮转工具（如logrotate）正在重命名或压缩该文件
- 编辑器（如vim）以swap模式临时持有文件描述符
运行lsof +D /path/to/dir或lsof /path/to/file，看是否有非你启动的进程在访问。若发现残留进程，kill掉再试；若为logrotate等系统服务，等它完成或调整其配置。
立即学习“Python免费学习笔记（深入）”；
避免sudo python，改用pipx或--user安装
很多PermissionError来自pip安装包时往系统目录写入，比如pip install --upgrade requests报错在/usr/local/lib/...。直接加sudo pip能过，但会污染全局环境、引发依赖冲突，还可能破坏系统包管理器（apt/dnf）维护的Python生态。
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
更安全的做法是：
- 用
pip install --user package_name把包装进~/.local/lib/python3.x/site-packages/ - 用
pipx install tool_name隔离CLI工具（如black、poetry），不碰site-packages - 项目级用
python -m venv .venv && source .venv/bin/activate，所有pip操作都在沙盒内
注意：确保~/.local/bin在$PATH里，否则--user安装的可执行文件找不到。
代码里别硬编码系统路径，动态获取用户空间
硬写/var/log/或/etc/开头的路径，等于主动踩坑。正确做法是让程序“自己找地方”：
- 日志路径用
os.path.expanduser("~/myapp/logs/")或pathlib.Path.home() / "myapp" / "logs" - 配置文件优先查
~/.config/myapp/，再 fallback 到/etc/myapp/（只读） - 临时文件一律走
tempfile.mkstemp()或tempfile.TemporaryDirectory()，别手写/tmp/myfile
如果必须写系统路径（如部署脚本要改/etc/cron.d/myjob），那就明确要求调用者提权，并在代码开头加检查：if os.geteuid() != 0: raise PermissionError("This script requires root privileges")，比静默失败更可靠。
最常被忽略的一点：SELinux或systemd sandbox机制可能拦截合法操作，尤其在CentOS/RHEL或启用ProtectSystem=strict的服务单元里。遇到“明明权限对却还是拒”的情况，先看ausearch -m avc -ts recent或journalctl -u myservice | grep avc，确认是不是策略拦的——这时候改代码没用，得调策略。
