Web服务写不了文件，90%是Linux权限链断裂；需按“谁在写、往哪写、能不能进、能不能改”四步排查：先用ps和id确认进程真实用户，再用ls -ld核对目录属主/属组/权限位，接着检查SELinux上下文和挂载选项，最后优先用chown/chgrp+g+w或ACL修复，禁用chmod 777。

Web 服务写不了文件，90% 不是代码问题，而是 Linux 权限链断在了某一处。排查要从“谁在写”“往哪写”“能不能进”“能不能改”四步往下压，不跳步、不瞎试。

确认 Web 进程真实运行用户

别猜，直接看系统正在跑什么：

• 查主进程用户：ps aux | grep -E '(nginx|apache|httpd|php-fpm)' | grep -v grep，重点关注 USER 列（常见为 nginx、www-data 或 apache）
• 验证该用户是否存在且有效：id nginx（把 nginx 换成你查到的用户名），确认 uid 和 gid 正常，且没被禁用
• 注意：sudo su - 后执行命令 ≠ 进程身份；Web 服务是以配置里指定的用户独立启动的，和你当前登录用户无关

检查目标目录的归属与权限位

进入你要写的目录（如 /var/www/app/storage），运行：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• ls -ld /var/www/app/storage：看属主（第三列）、属组（第四列）、权限串（第一列，如 drwxr-xr-x）
• 关键三问：属主是我查到的 Web 用户吗？、属组是该用户所属的组之一吗？、属组权限位有 w 吗？（即权限串第5位是否为 w）
• 再查子目录/文件是否继承一致：ls -l /var/www/app/storage/，避免父目录 OK 但某级子目录被 root 创建、权限卡死

排除隐藏拦截机制

即使归属和权限都对，仍可能静默失败：

• SELinux 是否拦截：运行 getenforce，若返回 Enforcing，再执行 ls -Z /var/www/app/storage，正常可写目录上下文应为 httpd_sys_rw_content_t（Apache）或 httpd_sys_rw_content_t（Nginx）。错则用 chcon -R -t httpd_sys_rw_content_t /path
• 挂载是否只读：运行 mount | grep $(df . | tail -1 | awk '{print $1}')，检查输出中是否有 ro；若有，临时修复：mount -o remount,rw /mount/point
• 文件系统是否异常只读：运行 dmesg | tail -20 查 I/O 错误；对 ext4 执行 tune2fs -l /dev/sdXN | grep "Filesystem state"，若含 errors，需先 e2fsck -f

安全修复建议（避免 chmod 777）

修复不是加权限，而是让权限匹配身份：

• 推荐方式：属主+属组对齐 —— sudo chown -R nginx:nginx /var/www/app/storage，再设目录权限 sudo chmod -R 755 /var/www/app/storage，对需写入的子目录额外开组写：sudo chmod g+w /var/www/app/storage/logs
• 多人协作场景：保持属组为 www-data，仅开组写：sudo chgrp www-data /var/www/app/storage && sudo chmod g+w /var/www/app/storage，并启用组继承：sudo chmod g+s /var/www/app/storage
• 需要额外用户（如部署账号）也能写：用 ACL，sudo setfacl -m u:deploy:rwx /var/www/app/storage，再加默认 ACL 让新文件生效：sudo setfacl -dm u:deploy:rwx /var/www/app/storage