网站根目录必须设755（rwxr-xr-x），因目录需执行权限（x）才能被web服务器遍历访问；静态文件设644（rw-r--r--）即可，禁止非属主写入；上传与缓存目录应分层控制，推荐775目录+664文件，并启用sgid确保组继承。
Linux 目录权限位不是数字游戏，而是 Web 服务能否安全运行的底层逻辑。核心在于：目录必须有执行（x）位才能被进入和遍历，文件是否可写则取决于具体用途——静态内容不需写，上传目录必须可控写。
网站根目录：755 是底线，不是万能解
根目录如 /var/www/html 必须设为 755（rwxr-xr-x），因为：
- 所有者（如 www-data）需要读、写、执行权限，便于部署与维护
- 组用户和其他人必须有执行（x）权限，否则 Web 服务器无法进入目录读取文件，直接触发 403 Forbidden
- 仅设 644 会导致目录不可访问——644 没有 x 位，目录不能被 cd 或 httpd 遍历
命令示例：
sudo chmod -R 755 /var/www/html
注意：-R 会递归修改全部子项，若已有敏感配置文件（如 .env），建议先排除再单独处理。
静态资源文件：644 足够，禁止写入更安全
HTML、CSS、JS、图片等纯展示型文件，应统一设为 644（rw-r--r--）：
- 所有者可编辑，适合开发者或部署脚本维护
- Web 服务器只需读取，无写入必要；关闭写权限可防恶意覆盖或注入
- 其他用户仅读，符合最小权限原则
批量设置：
find /var/www/html -type f -not -name "*.php" -exec chmod 644 {} \;
上传与缓存目录：分层控制，拒绝 777
wp-content/uploads、cache、runtime 等目录需写能力，但绝不能用 777。推荐组合：
- 目录权限设为 775：所有者 + 所属组可读写执行，其他人仅读执行
- 文件权限设为 664：上传生成的文件默认由 Web 进程创建，保持组可读写
- 关键操作：确保目录属主为 www-data，属组为一个协作组（如 uploaders），再用 chown 固定
实操步骤：
sudo chown -R www-data:uploaders /var/www/html/wp-content/uploads
sudo find /var/www/html/wp-content/uploads -type d -exec chmod 775 {} \;
sudo find /var/www/html/wp-content/uploads -type f -exec chmod 664 {} \;
特殊场景：缓存目录需 SGID 保组继承
多个进程（如 PHP-FPM、CLI 脚本）向同一缓存目录写入时，新文件可能丢失组归属，导致权限断裂。解决方法是启用 SGID 位：
- 给目录加 s 位：chmod g+s /var/www/cache
- 此后该目录下新建文件自动继承父目录所属组，无需每次手动 chgrp
- 配合 775 权限，确保组内成员持续拥有写入能力
验证是否生效：
ls -ld /var/www/cache —— 输出中组权限位显示为 rwxrwsr-x（中间 s 即 SGID）
