必须用独立池而非修改默认www池，因共用www-data用户会导致站点间文件互读写，一旦某站被入侵即全盘沦陷；独立池通过为各站分配专属系统用户（如sitea-user），实现用户上下文、home目录、临时文件及日志的完全隔离。
为什么必须用独立池而不是改默认 www 池
直接改 /etc/php/8.3/fpm/pool.d/www.conf 会让所有站点共用同一用户（www-data），一旦某个站点被入侵，就能读写其他站点的文件。独立池的核心价值不是“多开几个进程”，而是让每个站点运行在隔离的用户上下文中——比如 sitea 用 sitea-user，siteb 用 siteb-user，彼此 home 目录、临时文件、错误日志全不互通。
创建独立池前必须先建系统用户
PHP-FPM 进程本身不能自动创建系统用户，你得手动加。漏掉这步，systemctl restart php8.3-fpm 会静默失败（journalctl -u php8.3-fpm -n 20 里能看到 failed to set user）。
- 用
adduser --disabled-password --gecos "" sitea-user创建无登录能力的用户 - 把网站根目录归属设为该用户：
sudo chown -R sitea-user:sitea-user /var/www/sitea - 确保
/var/www/sitea/tmp可写（session、upload 等依赖它）：chmod 700 /var/www/sitea/tmp - 如果用 Composer，还要给该用户加
~/.composer目录并设对权限
pool.d 配置里最关键的 5 个参数
以下参数缺一不可，顺序无关，但值必须严格匹配你的用户和路径：
-
listen = /run/php/php8.3-fpm.sitea.sock—— 套接字名要带站点标识，避免和默认池冲突 -
listen.owner = sitea-user和listen.group = sitea-user—— 不是www-data，否则 Nginx 访问套接字会 Permission denied -
user = sitea-user和group = sitea-user—— 决定 PHP 脚本以谁的身份执行文件操作 -
pm.max_children = 10—— 别照搬默认池的 50；按单站点并发预估，超了反而触发 OOM killer
示例片段（存为 /etc/php/8.3/fpm/pool.d/sitea.conf）：
[sitea] listen = /run/php/php8.3-fpm.sitea.sock listen.owner = sitea-user listen.group = sitea-user user = sitea-user group = sitea-user pm = dynamic pm.max_children = 10 pm.start_servers = 2 pm.min_spare_servers = 1 pm.max_spare_servers = 5
Nginx 配置里最容易错的两处
配错会导致 502 Bad Gateway 或 403 Forbidden，且错误日志里往往只写“connect() failed”，不提权限问题。
-
fastcgi_pass必须和listen完全一致：fastcgi_pass unix:/run/php/php8.3-fpm.sitea.sock;—— 少一个点、大小写错、路径多斜杠都会失败 -
fastcgi_param SCRIPT_FILENAME必须指向该站点真实路径：fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;—— 如果 Nginx 的root指向/var/www/sitea，这里就不能写死成/var/www/html - 别忘了
chown www-data:www-data /run/php/—— 这个目录默认属主是root，Nginx worker 进程没权限创建或访问套接字文件
验证时用 ls -l /run/php/ 看套接字文件是否生成、属主是否为 sitea-user、权限是否为 srw-rw----。
真正麻烦的从来不是配置几行文字，而是每个池背后对应一个系统用户、一套文件权限、一个套接字生命周期管理——少检查任何一环，服务就卡在“看起来启动了，但请求全 502”。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
