PHP 8.0 文件权限漏洞排查核心是验证权限与运行上下文是否匹配：Web根目录属主应为www-data（755），上传目录应为750且禁PHP执行，敏感文件须600且不可Web访问，并通过HTTP测试、open_basedir和disable_functions配置双重验证。
PHP 8.0 站点扫描检测文件权限漏洞，核心不是“扫出某个数字权限值”，而是验证权限设置是否与运行上下文匹配、是否暴露执行或读写风险。工具本身不会直接报“755 不安全”，但能通过路径归属、配置行为、HTTP 响应等线索暴露真实风险点。
重点查 Web 根目录与上传目录的属主和权限组合
权限数字（如 755）只是表象，关键看谁拥有、谁可访问：
- Web 根目录（如
/var/www/html）必须属主为 PHP-FPM 运行用户（如www-data），权限建议755；若属主是root，即使权限 755，PHP 进程实际只有“其他用户”权限，连读都失败，反而导致功能异常或被诱导降权修复 - 上传目录（如
/var/www/html/upload）同样属主应为www-data，但权限建议750（组可读执行，其它用户无任何权限），严禁设为 777 或开放“其他用户”写权限 - 敏感文件（如
.env、config/database.php）必须权限600或640，且不能放在 Web 可访问路径下——扫描工具可通过 HTTP 请求探测（如访问/env、/config.php）验证是否意外暴露
用脚本+HTTP 扫描结合验证执行限制是否生效
仅看文件系统权限不够，必须确认 Nginx/Apache 是否真正阻止了危险行为：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 在上传目录下尝试上传一个名为
test.php的文件，再用浏览器直接请求/upload/test.php，观察返回状态码：应为403或404，而非成功执行输出 - 检查 Nginx 配置中是否包含锚定开头的拦截规则：
location ~ ^/upload/.*\.(php|phtml|phar|sh|py)$ { deny all; }，注意必须放在location ~ \.php$之前，否则不生效 - 手动测试大小写绕过：请求
/upload/TEST.PHP、编码路径/upload/test%2ephp，确认仍被拒绝
通过 phpinfo 和 ini_get 检查关键防护配置是否启用
很多“权限漏洞”本质是 PHP 层隔离缺失，需验证内核级白名单是否真实生效：
立即学习“PHP免费学习笔记（深入）”；
- 新建
info.php，内容为<?php echo ini_get('open_basedir'); ?>，访问后输出应为非空字符串，例如/var/www/html/:/tmp/:/proc/ - 确认
open_basedir每段路径都以/结尾（如/var/www/html/public/），否则前缀匹配可被绕过（/var/www/html_evil也能通过） - 检查
disable_functions是否禁用高危函数（如system、exec、shell_exec、passthru），但注意：仅禁用函数不等于安全，攻击者仍可通过mail()、error_log()等间接调用命令
静态扫描要关注代码中硬编码路径与权限逻辑
自动化工具（如 PHPStan + thinkphp/phpstan-thinkphp）可辅助发现权限隐患的代码模式：
- 搜索
chmod(、chown(、mkdir(..., 0777)等调用，确认参数是否可控或固定为宽松值 - 检查文件操作是否校验路径合法性：是否用
str_contains($path, '../')或realpath()规范化后再拼接？是否忽略 Windows 反斜杠或 URL 编码绕过？ - 审计 ThinkPHP 等框架上传逻辑：是否开启
auto_rename、是否强制重命名、是否禁用所有 PHP 变体后缀（phtml、phar、.htaccess）及其大小写变形？
