TP6 生产环境目录权限配置的核心是遵循最小权限原则，将 Web 根目录限定在 public/ 文件夹，并将 runtime 等 writable 目录的所有者设为 Web 服务运行用户（如 www-data），严禁使用 777 权限。

命令速用版

以下命令假设项目路径为 /var/www/tp6，Web 运行用户为 www。

chown -R www:www /var/www/tp6/runtime
chmod -R 755 /var/www/tp6/runtime
find /var/www/tp6 -type f -exec chmod 644 {} \;

为什么会这样

权限配置错误的根本原因通常是属主不匹配或 Web 根目录指向错误。

Linux 系统判定写入权限时优先匹配用户身份，若文件属主为 root 而 PHP 进程以 www 用户运行，即使 chmod 777 也可能因安全策略（如 SELinux 或 open_basedir）被拒绝。此外，TP6 强制要求入口文件统一收口到 public/index.php，若 Web 根目录指向项目根目录，会导致 .env 等敏感文件暴露。

分步处理

按顺序执行以下步骤，确保权限收敛且服务可用。

第一步：修正目录属主
将需要写入的目录所有权交给 Web 服务用户，避免使用 root 运行 PHP 进程。

chown -R www:www /var/www/tp6/runtime
chown -R www:www /var/www/tp6/public/uploads

第二步：设置目录与文件权限
目录赋予执行位以便遍历，文件仅赋予读写位，禁用全局写权限。

find /var/www/tp6 -type d -exec chmod 755 {} \;
find /var/www/tp6 -type f -exec chmod 644 {} \;

第三步：配置 Web 根目录
Nginx 或 Apache 的站点配置中，root 指令必须指向 public 子目录，而非项目根目录。

server {
    root /var/www/tp6/public;
    # 其他配置...
}

怎么验证是否生效

通过检查文件归属和日志写入情况确认配置正确。

执行 ls -l 查看 runtime 目录属主是否为 www，尝试访问网站并检查 runtime/log/thinkphp.log 是否有新日志生成。若页面无报错且日志更新，说明权限配置生效。

常见坑

以下场景容易导致权限配置失效或引发安全风险。

• 盲目设置 777 权限：这会掩盖属主错误，且可能触发安全模块拦截，导致 Permission denied。
• PHP 函数禁用：宝塔等面板默认禁用 scandir 函数，TP6 初始化需要该函数，需在 PHP 配置中移除限制。
• .env 文件暴露：若 Web 根目录未指向 public/，.env 文件可能被直接下载，导致数据库密码泄露。

常见问题

runtime 目录必须设成 777 吗？

不需要，777 反而可能失效。

正确做法是将属主设为 Web 用户，权限设为 755。777 会触发 open_basedir 限制或被安全模块拦截，且无法解决属主不匹配问题。

为什么网站访问白屏且无错误？

通常是因为 scandir 函数被禁用或权限不足。

检查 PHP 配置中的 disable_functions 是否包含 scandir，并确认 runtime 目录可写。

.env 配置文件不生效怎么办？

确保文件名为 .env 且位于项目根目录，修改后需重启 PHP 服务。

TP6 仅在初始化早期加载一次环境变量，修改后不重启进程会导致旧配置缓存。

参考来源

• 如何遵循最小权限原则配置生产环境目录的访问控制指南
• 宝塔面板下 TP6 框架目录权限怎么设_配置 runtime 目录 777 权限
• ThinkPHP6.x 部署上线：生产环境下的隐藏入口文件与权限设置
• phpEnv 配置 ThinkPHP6 教程 phpEnv 部署 TP6 项目指南