ThinkPHP本地开发权限问题需匹配Web进程身份并启用沙箱：先查进程用户（如www-data），再chown runtime目录，设755基础权限，log目录加g+w，runtime设g+s继承组权限，日志文件chmod 640，升级至8.1+并开启security_mode及锁定template type为think。
ThinkPHP本地开发时，runtime目录报Permission denied、日志写不进、缓存生成失败、模板被注入执行——这些问题90%源于权限错配或沙箱未启用。不是改个chmod就能解决，必须匹配Web进程身份、区分文件类型、激活框架层防护。
确认并切换Web服务运行用户
第一步：查当前PHP进程归属用户。执行ps aux | grep -E '(apache|nginx|php-fpm)'，看USER列值（Ubuntu常见www-data，CentOS常见nginx，Docker内可能是www-data或nobody）。
第二步：把runtime目录属主和属组统一设为该用户。例如用户是www-data，运行sudo chown -R www-data:www-data /path/to/thinkphp/runtime。
第三步：验证是否生效。进入runtime目录，执行ls -ld .，输出第一列应显示drwxr-xr-x 1 www-data www-data；若仍是root或其它用户，后续所有权限设置都无效。
runtime目录基础权限分层设置
方法一：安全底线权限（推荐用于开发与测试环境）
执行sudo chmod -R 755 /path/to/thinkphp/runtime。这确保目录可进入、内容可读，但禁止其他用户写入——【绝不可设为777】，否则攻击者可通过上传漏洞直接写入恶意PHP文件并执行。
方法二：日志子目录单独加组写权限
log目录必须允许PHP进程写入，但755本身不含写权限。执行sudo chmod -R g+w /path/to/thinkphp/runtime/log，让组用户（即www-data）获得写权限。这一步漏掉，日志就永远为空。
方法三：缓存子目录自动继承组权限（防后续子目录权限漂移）
在runtime目录上执行sudo chmod g+s /path/to/thinkphp/runtime。此后由PHP创建的cache/、temp/等子目录，其属组自动继承runtime的组（www-data），无需每次手动chown。
加固已生成日志文件权限
日志文件含调试信息、SQL语句、用户IP甚至token片段，必须限制访问范围。执行：
find /path/to/thinkphp/runtime/log -name "*.log" -exec chmod 640 {} \;
这条命令将所有.log文件权限收紧为640（所有者读写、组用户只读、其他人完全拒绝）。【若仍保留644或更宽松，敏感信息可能被同服务器其他账户读取】。注意：此操作不影响PHP写入，因PHP进程以www-data身份运行，属于该文件的组用户。
启用ThinkPHP 8.1+安全沙箱模式
低于8.1的版本无法拦截新型模板注入载荷，必须升级并开启沙箱。
① 执行php think version，确认输出为8.1.0或更高；8.0.9、8.1.0-beta均不满足要求。
② 运行composer update topthink/framework:^8.1，注意末尾的^8.1不能省略，否则可能卡在旧版本。
③ 编辑config/app.php，将'security_mode' => false改为true。
④ 清空runtime/cache/目录，否则旧缓存会绕过新配置生效。
禁用模板中PHP代码执行能力
即使开了security_mode，若模板引擎类型没锁死，攻击者仍可能通过切换type绕过沙箱。
编辑config/template.php，确保'type' => 'think'明确写出，不能留空、不能写成'file'。
同时配置'tpl_replace_string' => ['{php}' => '{notag}', '{/php}' => '{/notag}']——这只是前置混淆，真正起效靠编译阶段的沙箱拦截，所以type必须对。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
