网站文件权限这事儿，说大不大说小不小，可它就是爱反复折腾人：装程序报没权限写不了、程序能写了吧又怕被入侵篡改、用宝塔的点了下权限又怕点错把站搞挂。很多人设权限全凭感觉，今天777明天755，越设越乱。其实网站权限有一套通用的思路，想明白了，一次设置管很久，今天我就把这套思路给你讲透，顺便把常见误区也排一排。
先记住权限的底层逻辑
Linux的权限就管三拨人：属主、属组、其他人。网站文件权限的核心问题就一个：谁能读写这些文件。想清楚这个，设置就简单了。绝大多数网站程序都是这个结构：Web服务进程（比如php-fpm，一般跑在www或者www-data用户下）负责读写程序要写的目录；我们人类管理员负责管理文件。所以权限设置的目标就是：该让Web进程写的目录放开给它写，不该它碰的目录别给它写权限。
一套通用的设置模板
先给一套绝大多数网站通用的模板：网站根目录，属主设成Web用户（www），目录权限755，文件权限644。这样Web进程能读所有文件、能进入所有目录，管理员随时能改。然后单独处理需要写的目录：缓存目录、上传目录、session目录、安装目录，这些需要Web进程写入的，要么目录权限设成775并把属组也设成www，要么干脆属主给www加写权限。判断哪些目录需要写，看程序文档或者报错提示，报哪个目录没权限，就处理哪个。
命令就那几条：chown -R www:www 网站目录 把属主属组交给www；find 目录 -type f -exec chmod 644 {} \; 把文件统一设644；find 目录 -type d -exec chmod 755 {} \; 把目录统一设755；需要写的目录单独chmod 775或者chmod -R 775。这套组合打下来，权限基本就规整了。
别一上来就777，那是引狼入室
必须重点说：777这权限，能不用就别用，尤其是网站根目录整体777，那就等于把家门钥匙复制给全世界。攻击者一旦拿下Web进程，777目录里想写啥写啥，挂马分分钟的事。你去看那些被挂马的站，十有八九目录是777。正确做法就是上面那套：只给该写的目录放开写权限，其他保持只读，就算Web进程被攻破，它能祸害的范围也有限。
用面板的注意点
用宝塔这类面板的话，权限设置在文件管理里就能操作，右键文件或者目录就有权限选项，选择对应用户（一般是www）和权限值就行，不用记命令。但面板的权限功能容易让人犯一个错：图省事整个站点点成777或者把属主全改成root。记住，面板只是工具，权限逻辑还是那套：该写的放开写，其他的锁好。改完权限如果网站出问题，多半是改过头了，把写权限收得太紧或者放得太开，对照着上面那套逻辑回退就行。
网站换环境、搬服务器之后，权限要重设
很多人网站搬家之后出各种怪问题：能打开但写不了、图片传不上去、后台保存就报错，一查全是权限问题。因为搬家解压文件的时候，属主属组经常变成解压用户的，跟新服务器上Web进程的用户对不上。所以每次搬家或者还原备份之后，第一时间把上面那套权限设置重新跑一遍：chown给Web用户、文件644目录755、需要写的目录放开。别等用户报问题了才想起来，搬完家顺手设一遍，能省一堆麻烦。
设完怎么验证，心里才有底
权限设完，验证别省：先访问网站看看正常不正常，前台后台都点一遍；再测试写权限，比如后台传个图、更新一下缓存，确认该写的目录能写；最后用ls -l抽查几个文件，看看权限值是不是预期的。还有个小技巧：模拟Web用户的身份测试，比如sudo -u www touch 目录/test.txt，能建文件说明写权限给了，建不了就是没给够。这套验证做完，权限这事才算真落地了。
说句总结的话：网站权限就记住一个原则——让Web进程够用，但不让它乱来。按这套思路设好，配合定期检查，权限问题就不会再隔三差五来烦你了。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
