必须用独立php-fpm池而非共用www池，因后者使所有站点共享www-data用户，一旦某站被入侵即全盘沦陷；独立池通过为各站分配专属系统用户（如sitea-user），实现用户上下文、home目录、临时文件及日志的完全隔离。
PHP 8.3 本身不决定文件权限，权限问题全由操作系统和 Web 服务器进程身份控制；直接 chmod 777 或 chown www-data 是最常见、最危险的误操作。
为什么不能直接 chown www-data /var/www
共用 www-data 用户会让所有站点运行在同一个系统上下文中：一个站点被上传 WebShell 后，能立刻读写其他站点的配置文件、数据库凭证、.env、甚至 Composer 缓存。这不是“可能被黑”，而是“被黑即全盘沦陷”。独立 PHP-FPM 池 + 独立系统用户才是隔离底线。
必须手动创建无登录能力的站点专属用户
PHP-FPM 不会自动建用户，漏这步会导致 systemctl restart php8.3-fpm 静默失败（查 journalctl -u php8.3-fpm -n 20 会看到 failed to set user）。
- 执行
adduser --disabled-password --gecos "" sitea-user创建无密码、无 shell 的用户 - 把网站根目录归属设为该用户：
sudo chown -R sitea-user:sitea-user /var/www/sitea - 确保上传/临时目录可写：
chmod 700 /var/www/sitea/tmp（不能是 755，否则其他用户可遍历） - 如果站点用 Composer，还要给该用户初始化
~sitea-user/.composer并设对权限
php.ini 中真正影响权限安全的 3 个关键配置
这些不是“锦上添花”，而是防止路径遍历、任意文件读取的核心防线：
-
open_basedir = /var/www/sitea:/tmp—— 强制 PHP 脚本只能访问指定路径，file_get_contents('/etc/passwd')会直接报错。注意多个路径用冒号分隔（Linux）或分号（Windows） -
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,parse_ini_file,show_source—— 禁用高危函数，尤其parse_ini_file常被用于读取.env，show_source可直接暴露源码 -
allow_url_fopen = Off—— 关闭远程文件加载，杜绝include('http://...')类攻击；如业务真需远程请求，改用cURL并严格校验域名
Nginx/Apache 配置里最容易忽略的权限细节
Web 服务器配置错一个字符，就等于把门钥匙交出去：
- Nginx 的
fastcgi_pass必须和 PHP-FPM 池的listen完全一致，比如池里是listen = /run/php/php8.3-fpm.sitea.sock，Nginx 就得写fastcgi_pass unix:/run/php/php8.3-fpm.sitea.sock；写成www.sock或漏掉unix:前缀，就会 502 - 套接字文件权限必须匹配：
listen.owner = sitea-user和listen.group = sitea-user设了，但 Nginx worker 进程若以www-data身份跑，就得让该用户属于sitea-user组，或改 Nginx 的user指令（不推荐） - Apache 下若用
mod_php，php_admin_value open_basedir必须写在<virtualhost></virtualhost>块内，写在全局或.htaccess里无效
真正的权限隔离不在 chmod 数字上，而在用户上下文是否彻底分离——每个站点一个系统用户、一个 FPM 池、一个 open_basedir 范围、一套禁用函数列表。少其中任何一环，都只是纸糊的墙。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
