thinkphp文件权限安全需遵循最小权限、路径隔离、执行禁用原则：上传目录须移出public并禁用php解析；.env等敏感文件设600权限；php脚本644、静态资源644、runtime/logs目录755；php.ini禁用危险函数并启用open_basedir。

ThinkPHP 文件权限设置不能只靠 chmod 数字，关键在于“谁运行、存哪、怎么读、是否可执行”四点联动。核心原则是：最小权限 + 路径隔离 + 执行禁用。

上传目录必须移出 public，且禁用脚本执行

上传文件绝不能放在 public/uploads 这类 Web 可直访路径下。否则攻击者猜中路径（如 /uploads/2024/shell.php）就能直接执行后门。

• 把上传根目录设为 runtime/uploads 或 storage/uploads —— 这两个目录默认不在 Web 根目录内，Nginx/Apache 无法通过 URL 直接访问
• 在 Nginx 配置中显式禁止该路径下 PHP 解析：
  location ~ ^/runtime/.*\.php$ { return 403; }
• Apache 下可在 runtime 目录放 .htaccess，写入 php_flag engine off
• Linux 权限设为 755（目录），确保 Web 进程（如 www-data）能写入，但不赋予组/他人执行权限

敏感文件单独设权限，配置文件必须严格限制

数据库配置、.env、密钥文件等一旦泄露等于交出系统控制权。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• .env 和 config/database.php 等文件权限应设为 600（仅所有者可读写）
• 整个 config/ 目录建议设为 750，所属组可读，其他人无任何权限
• Nginx/Apache 需额外加规则屏蔽访问：
  location ~ /\.(env|git|ht) { deny all; }

PHP 脚本与静态资源按角色分权

不是所有文件都该有相同权限，要区分“可执行”和“只读”两类。

• 控制器、模型、中间件等 PHP 脚本：统一设为 644（所有者读写，组/他人只读）
• public 下的 JS/CSS/图片等静态资源：可设为 644，无需执行权限；目录设为 755
• runtime/ 和 logs/ 目录：Web 进程需写入，设为 755；若环境允许，建议属主为 www-data:www-data，避免用 root 写入

PHP 运行时也要加固，不止改文件权限

文件权限只是基础，PHP 自身行为同样影响安全边界。

• 在 php.ini 中禁用危险函数：
  disable_functions = exec,passthru,shell_exec,system,proc_open,popen
• 启用 open_basedir 限制脚本可访问路径，例如：
  open_basedir = /var/www/html/:/tmp/（包含临时目录）
• 上传处理中必须用 finfo_file() 校验真实 MIME 类型，不能只信扩展名或 $_FILES['type']
• 所有用户上传的文件，下载必须走 PHP 控制器，用 readfile() 输出并加响应头：
  header('X-Content-Type-Options: nosniff');
header('Content-Disposition: attachment; filename="safe.pdf"');

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！