必须区分apache运行身份与网站文件管理身份：属主设为运维用户（如centos），属组设为apache并启用g+s位；目录权限750、文件640，功能目录如wp-content单独设770，严禁全站777。
在CentOS上部署网站时，必须明确区分Apache进程运行身份与网站文件管理身份，否则会导致网页无法访问、PHP脚本执行失败或被恶意篡改。直接用root用户托管网站根目录、忽略组权限继承、对所有文件统一设777——这三类操作会立刻引发安全告警或服务中断。
确认Apache运行身份和网站目录路径
执行 ps aux | grep httpd 或 systemctl status httpd，查看主进程的USER字段；常见为apache（CentOS 7默认）或www-data（非标准安装）。同时确认网站根目录位置，如/var/www/html或/home/centos/web。
若输出中显示USER为apache，但目录属主是root，则Apache只能读取文件，无法写入日志、缓存或上传目录——这会导致WordPress后台更新失败、Discuz附件上传报错。
用ls -ld /var/www/html检查当前权限结构，重点看开头的字符（d表示目录）、后9位分组（如rwxr-xr-x），这是后续所有操作的前提。
设置属主与属组：两步不可颠倒
第一步：将网站目录及其全部内容的所有者设为运维管理员（如centos），所属组设为Web服务组（如apache）：
sudo chown -R centos:apache /var/www/html
第二步：对目录启用setgid位，确保此后在该目录下新建的文件和子目录自动继承apache组身份：
sudo chmod -R g+s /var/www/html
【不执行第二步，新上传的PHP文件组仍为centos，Apache因无组读权限而500错误】
这一步不是可选项——它让团队协作和自动部署成为可能，避免每次上传后手动chgrp。
分配目录与文件权限：按类型区别对待
方法一：批量设置标准静态站点权限
对所有目录设750：所有者可读写执行，组用户可读执行，其他人无任何权限。
find /var/www/html -type d -exec chmod 750 {} \;
对所有普通文件设640：所有者可读写，组用户只读，其他人无权访问。
CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离
find /var/www/html -not -type d -exec chmod 640 {} \;
方法二：为特定功能目录开放写入（仅限必需）
例如WordPress的wp-content、Discuz的data或Laravel的storage，需允许Apache组写入：
sudo chmod -R 770 /var/www/html/wp-content
【切勿对整个html目录设770或777，否则攻击者可直接覆盖index.php】
方法三：PHP脚本权限特殊处理
PHP文件本身不需要执行位（x），设640即可被Apache读取解析；只有CGI类脚本才需750。误加x可能导致源码被直接下载暴露。
验证权限生效状态
切换到Apache运行用户，测试能否读取关键文件：
sudo -u apache cat /var/www/html/index.html
若返回内容，说明读权限正常；若报“Permission denied”，检查上一步的chmod 640是否遗漏或chown组名拼写错误。
进入一个已授权写的子目录，尝试创建测试文件：
sudo -u apache touch /var/www/html/wp-content/test.tmp && echo ok
成功输出ok，证明770与g+s协同生效；失败则需回溯chown与chmod g+s是否完整执行。
