答案是需确认web用户后递归修改runtime属主与权限：先用ps aux查实际用户（如nginx或www-data），再chown -r赋予属主，chmod -r 755设目录权限，log子目录额外g+w，日志文件设640，并在selinux环境用chcon -t httpd_log_t加固。
ThinkPHP项目在Linux服务器上因runtime目录无写权限导致缓存无法生成、日志写入失败或上传文件被拒绝，必须立即修正文件读写权限配置，否则应用将频繁报错甚至中断服务。
确认Web服务器运行用户
第一步：执行ps aux | grep -E "(nginx|apache|php-fpm)" | grep -v grep，观察输出结果第一列的用户名（如www-data、nginx或apache）。这一步不能跳过，因为后续所有chown操作都依赖该用户标识。
第二步：若使用Nginx且输出为nginx，说明Web进程以nginx用户运行；若为www-data，则对应Debian/Ubuntu系。【必须用实际查到的用户名，不可默认填www-data】
第三步：记下该用户名，后续所有权限归属调整都以此为准——填错会导致整个runtime目录彻底不可写。
设置runtime目录归属与基础权限
执行sudo chown -R : /path/to/thinkphp/runtime，把整个runtime目录及其子目录、文件的所有者和所属组统一改为Web服务器用户。
紧接着运行sudo chmod -R 755 /path/to/thinkphp/runtime，确保目录具备进入（x）和读取（r）能力。注意：755对目录是安全底线，【绝不可设为777】，否则攻击者可直接上传并执行恶意脚本。
这一步完成后，log子目录仍需额外加写权限：执行sudo chmod -R g+w /path/to/thinkphp/runtime/log，让组用户能写入日志——因为PHP进程以该用户身份运行，而日志写入依赖组写权限生效。
加固日志文件权限（防止敏感信息泄露）
方法一：批量重设已生成日志文件权限
执行find /path/to/thinkphp/runtime/log -name "*.log" -exec chmod 640 {} \;，强制日志文件仅所有者可读写、组用户可读、其他用户完全不可访问。
方法二：在日志写入前动态控制权限
在app/common.php或日志初始化位置插入：if (is_file($logFile)) { chmod($logFile, 0640); }，确保每次新日志生成后立即收紧权限。
提示：640比644更安全，它阻止了同服务器其他普通用户通过shell读取日志中可能包含的SQL语句、用户token等敏感片段。
处理SELinux环境下的权限拦截（CentOS/RHEL专用）
第一步：临时关闭SELinux验证是否为真凶
执行sudo setenforce 0，然后手动触发一次日志写入或缓存生成。若此时恢复正常，说明SELinux策略确实在拦截。
第二步：恢复SELinux并精准赋权
执行sudo setenforce 1重新启用，再运行：sudo chcon -R -t httpd_log_t /path/to/thinkphp/runtime/log，将日志目录SELinux上下文类型设为允许HTTP守护进程写入的类型。
第三步：永久生效（可选）
编辑/etc/selinux/targeted/contexts/files/file_contexts，追加一行：/path/to/thinkphp/runtime/log(/.*)? system_u:object_r:httpd_log_t:s0，避免重启后失效。
校验上传目录是否真正隔离
检查config/filesystem.php中上传驱动配置，确认'root'路径不在public/目录内，例如应为runtime_path('uploads/')或storage_path('app/uploads/')。
登录服务器执行ls -ld /path/to/thinkphp/runtime/uploads，确认该目录存在且权限为755、所有者为Web服务器用户。若目录不存在，需手动创建并执行sudo chown : /path/to/thinkphp/runtime/uploads。
最后，用浏览器直接访问https://yoursite.com/runtime/uploads/test.jpg——如果返回403或404，说明上传目录已成功脱离Web根目录直出范围；若能下载文件，则配置失败，必须立刻回退修改。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
