ubuntu上如何解决thinkphp的权限问题

Ubuntu 上解决 ThinkPHP 权限问题的实用方案

一 核心思路

• 明确运行身份：Ubuntu 下 Apache 通常以 www-data:www-data 运行，Nginx + PHP-FPM 通常以 www-data:www-data 运行（具体以进程为准：ps -ef | grep -E 'apache|nginx|php-fpm'）。
• 目录归属与权限分离：将代码所有者设为部署用户（如 ubuntu），将 Web 服务用户加入同一用户组（如 www-data），对目录设置“所有者可写、同组可读可执行、其他无权限”的安全基线。
• 只对需要写入的目录放开写权限：如 runtime、storage、uploads 等；其余文件与目录保持只读。
• 禁止上传目录执行脚本：对 uploads/assets 等目录禁止解析 .php，降低被上传 webshell 的风险。
• 虚拟主机指向：将 DocumentRoot 指向项目的 public 目录，并正确开启重写。
• 严禁使用 chmod 777 -R，这会破坏最小权限原则并带来严重安全风险。

二 标准操作步骤

1. 确认 Web 运行用户

• Apache：ps -ef | grep apache 或 ps aux | grep www-data
• Nginx + PHP-FPM：ps -ef | grep php-fpm 或 ps aux | grep www-data

2. 设置项目归属与组

• 假设项目路径为 /var/www/your-tp，部署用户为 ubuntu，Web 组为 www-data：
  • sudo chown -R ubuntu:www-data /var/www/your-tp
  • 将部署用户加入 Web 组：sudo usermod -a -G www-data ubuntu（加入后需重新登录或 newgrp www-data 生效）

3. 设置安全基线权限

• 目录：find /var/www/your-tp -type d -exec chmod 750 {} \;
• 文件：find /var/www/your-tp -not -type d -exec chmod 640 {} \;

4. 放开写入目录（按版本与目录结构调整）

• ThinkPHP 6：
  • sudo chgrp -R www-data /var/www/your-tp/runtime
  • sudo chmod -R ug+rwx /var/www/your-tp/runtime
• ThinkPHP 5：
  • sudo chgrp -R www-data /var/www/your-tp/Application/Runtime
  • sudo chmod -R ug+rwx /var/www/your-tp/Application/Runtime
• 通用上传目录：
  • sudo chgrp -R www-data /var/www/your-tp/public/uploads
  • sudo chmod -R 775 /var/www/your-tp/public/uploads

5. 禁止上传目录执行 PHP

• Apache（在虚拟主机或 .htaccess）：
  • RewriteEngine On
  • RewriteRule ^(uploads|assets)/.*\.(php|php5|jsp)$ - [F,L]
• Nginx：
  • location ~ ^/(uploads|assets)/.*\.(php|php5|jsp)$ { deny all; }

6. 配置虚拟主机指向 public 并启用重写

• Apache：
  • DocumentRoot /var/www/your-tp/public
  • <Directory /var/www/your-tp/public> ... AllowOverride All ... Require all granted </Directory>
  • 启用重写：sudo a2enmod rewrite && sudo systemctl restart apache2
• Nginx：
  • root /var/www/your-tp/public;
  • try_files $uri $uri/ /index.php?$query_string;
  • 重启：sudo nginx -t && sudo systemctl reload nginx

7. 开发机便捷补充（可选）

• 若本地开发需要命令行执行 php think 等命令，可临时将当前用户加入 www-data 组：sudo usermod -a -G www-data $USER，避免“无权限创建/写入”的问题。

三 常见症状与快速修复

• 访问报 Page not found 或路由无效：多为 runtime 目录不可写导致缓存/日志无法生成，执行第 4 步放开 runtime 写权限，并确保 DocumentRoot 指向 public。
• 上传文件后访问被解析为 PHP 或报权限拒绝：为 uploads/assets 目录设置禁止解析 PHP 的规则（第 5 步），并确认目录对 www-data 可写。
• 命令行 php think 报无权限：将部署用户加入 www-data 组（第 2 步），或临时使用 sudo -u www-data php think ...（不建议长期使用 sudo 运行业务命令）。

四 安全加固清单

• 禁止上传目录执行脚本（第 5 步），并限制上传类型与大小。
• 仅对必须写入的目录放开写权限，其他保持 640/750 基线。
• 禁止在生产环境使用 777；定期审计目录归属与权限。
• 开启 open_basedir（可选）限制 PHP 可访问路径。
• 将日志目录（如 runtime/log）与代码目录分离或确保仅 www-data 可写，避免日志被篡改。