public/ 是 web 服务器 documentroot，仅需读+执行权限，存放 index.php 和静态资源；writable/ 必须与之同级且由 web 用户拥有写权限，用于日志、缓存等运行时写入。
public/ 是 Web 服务器的 DocumentRoot，不是可写入口
很多人误以为 public/ 目录需要开放写权限，其实它只应具备读+执行（r-x）权限。它的核心作用是作为 Web 服务器的根目录（DocumentRoot），暴露 index.php、静态资源（CSS/JS/images）和 .htaccess。任何 PHP 源码（如 app/、system/）都不该放在这里，否则有源码泄露风险。
常见错误现象：403 Forbidden 访问 public/ 下的文件，或 Apache/Nginx 报错 “No input file specified”，往往是因为 DocumentRoot 指向了项目根目录而非 public/；也可能是 index.php 权限不对（需至少 644）或 PHP-FPM 用户无权读取该文件。
- 确认 Web 服务器配置中 DocumentRoot 指向
your-project/public - 确保
public/index.php可被 Web 用户读取（例如www-data或apache） - 禁用
public/下的 PHP 执行（Nginx 用location ~ \.php$限制路径；Apache 用.htaccess禁止子目录解析）
writable/ 必须由 Web 服务器用户拥有写权限
writable/ 是 CI4 运行时唯一需要写入的目录，日志、缓存、Session、上传临时文件都依赖它。权限缺失会导致静默失败：比如 Logger 不写日志、Cache 始终 miss、Session 无法保存、表单上传报 Unable to move uploaded file。
关键点在于：不是 chmod 777 就万事大吉——SELinux 或容器环境会拦截实际写入行为。
- 先验证所有权：
ls -ld writable/应显示属主为 Web 用户（如www-data或apache） - 测试写入能力：
sudo -u www-data touch writable/test.txt（Ubuntu）或sudo -u apache touch writable/test.txt（CentOS/RHEL） - 若报
Permission denied且sestatus返回enabled，说明 SELinux 生效，临时关闭测试：sudo setenforce 0 - Docker 中需在
Dockerfile显式chown www-data:www-data /var/www/html/writable并设chmod -R 755 writable/
writable/ 下子目录用途与清理时机
writable/ 内部结构是框架约定的，不能随意重命名或删减，否则对应组件会报错或降级为内存模式（如缓存失效）。
各子目录作用明确：
-
writable/cache/：存储 PSR-6 缓存项，含编译后的视图、路由缓存等；部署新代码后建议清空 -
writable/logs/：按Logger配置生成日志文件（如error.log、debug.log）；生产环境需定期轮转，避免撑爆磁盘 -
writable/session/：默认文件型 Session 存储位置；若改用数据库或 Redis，此目录可忽略 -
writable/uploads/：非框架内置，需开发者手动创建并用于Upload类临时存放；务必在业务逻辑中及时move_uploaded_file()
注意：writable/ 不应纳入 Git 版本控制，.gitignore 中必须包含 writable/*，但保留空目录结构（可用 .gitkeep）。
CI4 的 public/ + writable/ 分离设计本质是安全边界
这个结构把“可公开访问”和“可运行时写入”两个敏感需求物理隔离：前者靠 Web 服务器路径限制，后者靠文件系统权限控制。一旦把 writable/ 放进 public/，就等于把 Session 文件、日志内容直接暴露给 HTTP 请求——攻击者可能通过 /public/writable/session/xxx 下载到未加密的 Session 数据。
最容易被忽略的一点是：CI4 的 public/index.php 里硬编码了 $paths->writableDirectory = __DIR__ . '/../writable';，这意味着 writable/ 必须与 public/ 同级。你不能把它移到 public/writable/ 下，也不能指望通过修改 Paths.php 绕过这个约束——框架启动早期就依赖该路径加载配置，改了反而导致 Autoloader 或 Logger 初始化失败。
