chmod -r 755 不区分文件与目录，易致脚本失执行权、配置文件被误赋执行权、web服务403或selinux拦截；应使用find分设权限：目录755、普通文件644、脚本755，并配合a+x和umask管控新文件权限。
直接用 chmod -R 755 /path 是最常见也最容易出问题的操作——它不区分文件和目录，把所有东西都套同一套权限，结果就是脚本可能丢了 x 位、配置文件却意外获得执行权，Web 服务读不了、Nginx 报 403、甚至触发 SELinux 拦截。
为什么 chmod -R 不能乱用
目录必须有 x（进入权限），文件通常不需要；755 对目录合理，但对 .env、.log、.conf 这类文件属于过度授权。递归操作不可逆，误设后得靠备份或手动修复。
-
chmod -R 755 /var/www会让/var/www/config.ini变成-r-xr-xr-x，Apache 可能因无读权限拒绝加载 - 如果目录里混着 shell 脚本，
chmod -R 644 /path会把deploy.sh的执行位干掉，后续./deploy.sh直接报Permission denied - 容器内挂载的宿主机目录被
-R 777后，进程可能以 root 写入关键路径，安全策略直接拦截
用 find 分开设目录和文件权限
这才是生产环境该用的方式：先筛类型，再精准赋权。目录设 755（确保可进入），普通文件设 644（只读写，不执行）。
- 设所有目录为
755：find /path/to/dir -type d -exec chmod 755 {} \; - 设所有普通文件为
644：find /path/to/dir -type f -exec chmod 644 {} \; - 保留脚本可执行性：
find /path/to/dir -name "*.sh" -type f -exec chmod 755 {} \; - 检查是否误加了不该有的执行位：
find /path/to/dir -type f -perm /111（列出所有带x的文件）
chmod -R a+X 是个省事但有前提的替代方案
a+X（大写 X）只会给“已有执行位的条目”或“目录”加 x，不会盲目塞给所有文件。适合初始权限较干净的场景。
- 先统一去执行位：
chmod -R a-x /path - 再智能加回必要执行位：
chmod -R a+X /path—— 此时只有目录和原本就带x的文件（如*.sh）会被加上x - 注意：
a+X不改变r/w，所以得配合其他命令补全，比如先chmod -R go-w再a+X
改完不是一劳永逸：新文件权限由 umask 控制
你刚用 find 把整个树设成 644/755，但用户在里头新建一个 new.conf，权限可能是 664（因为当前 umask 是 002）。这会导致权限不一致。
- 查当前掩码：
umask（输出0022表示新文件默认644，新目录755） - 临时生效：
umask 0022 - 永久生效需写入
~/.bashrc或/etc/profile，但别在共享账户里乱设，影响范围太大 - Web 服务目录建议用
setgid+umask组合：chmod g+s /var/www/html确保新建文件继承组，再配合适当umask
真正麻烦的从来不是命令敲几下，而是改完发现某个 .php 文件没 x 不能解析、某个 cache/ 子目录没 x 导致 PHP-FPM 报错，又或者 find 忘加 -type f 把目录当文件 chmod 成 644，结果整个子树进不去——这些细节比语法本身更值得盯紧。
