根本原因是目录所有者非www或缺少写入权限，需用chown -r www:www和chmod 755修正，并检查open_basedir限制。
宝塔面板提示“Permission denied”写入失败
根本原因几乎全是目录所有者不是 www，或权限未开放写入位。宝塔的网站运行用户默认是 www（Nginx/Apache 均如此），但上传、缓存、日志等操作都依赖该用户对目标目录有 w 权限。
常见错误现象：file_put_contents(): failed to open stream: Permission denied、后台上传附件失败、WordPress 插件更新报错、ThinkPHP 缓存生成失败。
- 先确认当前站点运行用户：在宝塔「网站」→ 点击对应站点 → 「配置文件」→ 查看
user行（通常是www） - 检查目标目录所有者：
ls -ld /www/wwwroot/your-site.com/runtime，输出中第二列必须是www - 若所有者不是
www，用chown -R www:www /www/wwwroot/your-site.com/runtime修正（注意-R仅用于目录，勿滥用到根目录） - 仅改所有者还不够——目录需有
rwx（至少r-x对组/其他，rwx对所有者），用chmod -R 755 /www/wwwroot/your-site.com/runtime；若需写入（如缓存、上传），确保目录本身有x（否则无法进入）和w（否则无法新建文件）
宝塔「文件管理」里能创建文件，但 PHP 脚本写不进去
这是典型的所有者混淆：你在宝塔文件管理里操作时，用的是你的登录用户（比如 root），而 PHP 进程是以 www 身份运行的。两者权限不互通。
使用场景：手动在宝塔里新建了 upload/ 目录，网页表单提交却提示“上传失败”；或者你用 FTP 传了文件，但程序读不到。
- 不要依赖“文件管理界面能点就代表能写”，它只是前端代理你的登录用户操作
- 检查 PHP 脚本实际运行身份：建个
info.php，内容为<?php echo exec('whoami'); ?>，访问后看输出是不是www - 若目录由
root创建，即使权限是777，www用户仍可能因 SELinux 或挂载选项被拦截（极少见，但阿里云部分镜像启用了） - 稳妥做法：所有需要 PHP 写入的目录，统一用
chown www:www+chmod 755（目录）或644（已有文件）
修改权限后仍报错：open_basedir 限制生效
这不是文件权限问题，而是 PHP 的安全隔离机制在起作用——即使所有者和权限全对，如果目标路径不在 open_basedir 白名单里，fopen、file_get_contents 等函数直接拒绝访问。
错误信息典型长这样：Warning: file_put_contents(): open_basedir restriction in effect. File(/www/wwwroot/your-site.com/cache/data.txt) is not within the allowed path(s)
- 查当前设置：宝塔「PHP 设置」→ 「配置修改」→ 搜索
open_basedir，值通常是/www/wwwroot/your-site.com/:/tmp/:/proc/ - 如果你的写入路径（比如
/www/backup/）不在这个列表里，就得手动加进去，多个路径用英文冒号分隔，末尾加冒号（如/www/backup/:/www/wwwroot/...） - 改完必须重启 PHP 服务（宝塔里点「重载配置」不生效，得「重启」）
- 注意：设空值（
open_basedir = ""）可关闭限制，但生产环境不建议
为什么 chmod 777 不推荐，但有时又不得不设
777 是权限最大化的快捷方式，但它让任何用户（包括潜在入侵者）都能删改文件，宝塔后台或插件一旦有漏洞，风险极高。
真正要写入的，只有少数几个目录：缓存（runtime/）、上传（public/uploads/）、日志（storage/logs/）。其他如代码目录、配置文件，应保持 644 或 755。
- 优先用
chown www:www+chmod 755组合，90% 场景已够用 - 仅当确认目录必须被
www和同组其他进程（如定时任务脚本）共同写入时，才考虑chmod 775并确保组是www - 如果非要用 777，请限定范围——只对具体子目录生效，例如
chmod -R 777 /www/wwwroot/your-site.com/public/uploads，绝不要对整个wwwroot执行 - 每次设完 777 后，建议用
find /www/wwwroot/your-site.com -type d -perm 777快速复查是否误扩
最麻烦的其实是嵌套挂载或 Docker 环境下的权限映射，宝塔默认不支持，这时候所有者和权限会失真——别硬调，换方案。
