为什么需要统一文件权限规范

在IDC服务器运维中，网站文件权限设置直接影响站点安全性与稳定性。常见的安全事件如篡改页面、植入木马，往往源于权限配置松散。755与644作为最常用的权限组合，分别适用于目录与普通文件，是Linux/Unix环境下的基础运维准则。本文提供一份可直接落地的检查与配置清单，帮助运维团队快速排查风险，建立标准化流程。

权限位基础与适用场景

755（rwxr-xr-x）

属主具备读、写、执行权限；属组与其他人只读和执行。此权限通常用于目录，因为目录需要执行位（x）才能进入并访问内部文件。若网站目录缺少执行权限，会导致403错误或无法列举文件。

644（rw-r--r--）

属主可读写，属组与其他人只能读取。适用于静态HTML、图片、CSS、JS等非执行类文件。普通文件设置执行位不仅无必要，还可能被利用执行恶意代码。

标准落地清单

目录权限统一为755

• 所有网站根目录及子目录，建议执行 find /网站路径 -type d -exec chmod 755 {} \;
• 特殊情况如需要对外可写上传目录，可单独调整，但不建议超过775，并配合权限组控制。

普通文件权限统一为644

• 执行 find /网站路径 -type f -exec chmod 644 {} \; 可快速规范化。
• 对于PHP、JS等文件，保持644即可，无需执行权限。
• 真正的可执行脚本（如shell、Python部署脚本）可保留755，但应放在非Web访问目录。

敏感配置文件单独收紧

• 数据库配置文件、密钥文件等建议设置为600或640，属主为运行用户。
• 例如：chmod 600 /网站路径/config.php

常见风险与错误

• 777权限：任何用户可读写执行，极易被利用写入后门，必须禁止。
• 目录写入权限过大：如Cache、Upload目录设为777，应改为755并调整属主，或使用PHP-FPM用户单独授权。
• 执行位滥用：普通文本文件带执行位，属非必要风险项。

日常运维检查命令

可定期执行以下命令，查找非标准权限文件：

1. 查找权限异常的目录：find /网站路径 -type d ! -perm 755 -ls
2. 查找权限异常的文件：find /网站路径 -type f ! -perm 644 -ls
3. 查找属主非运行用户的文件：find /网站路径 ! -user 运行用户 -ls

建议将上述命令写入Cron定时任务，每周执行一次，并输出日志供审计。

自动化规范化脚本示例

#!/bin/bash
WEB_ROOT="/var/www/html"
find $WEB_ROOT -type d -exec chmod 755 {} \;
find $WEB_ROOT -type f -exec chmod 644 {} \;
chmod 640 $WEB_ROOT/application/config/database.php
echo "权限规范化完成"

注意：脚本中修改了敏感文件权限，需确认运行用户仍可读取，否则会造成应用故障。

权限管理原则总结

文件权限是网站安全的第一道防线。运维团队应遵循“最小权限”原则，明确区分目录与文件，拒绝“一刀切”使用777。通过上述清单落地，能够显著降低权限误配带来的安全风险，同时避免因权限过严导致的网站访问异常。建议将本清单纳入新服务器初始化标准操作流程（SOP），形成常态化审计机制。