什么是web服务器上的目录权限？如何正确设置目录权限

Web服务器上的目录权限，就是操作系统用来决定谁能对网站目录里的文件进行读取、写入和执行操作的规则，权限配置不对，网站就会返回403或500错误，这也是新手站长排查问题的第一道关卡。

什么是web服务器上的目录权限

目录权限本质上是一套门禁系统，每个目录和文件都有三组身份标签：属主、属组、其他人，针对每组身份，系统又给出三个开关：读（r）、写（w）、执行（x）。

对应到网站场景：

• 读权限决定web服务器能不能把HTML、CSS、图片这些静态文件正常发给访问者
• 写权限决定你的程序能不能上传附件、生成缓存、写入日志
• 执行权限决定PHP、Python这类脚本能不能被运行

把这三个开关组合起来，用数字表示，就是权限命令的核心逻辑，这个逻辑在Linux服务器上表现最典型，Windows服务器的操作界面虽然不同,但思路完全一致。

为什么网站总栽在权限配置上

多数情况下，新站长第一次部署网站遇到白屏或403，根源都是权限没对齐，上传代码到服务器后，文件可能是用root账号传上去的，到了运行环境里，Nginx或Apache的进程用户却没有权限读取,于是直接拒绝访问。

行业共识认为，权限问题的排查优先级，应该排在防火墙和Nginx配置之前，因为web服务器本身是一个受限用户，它打不开文件,你再怎么调整配置都没用。

业内专家指出，目录权限控制是Web安全里性价比最高的措施之一,权限过大和权限不足都会引发严重后果。

Linux服务器目录权限怎么设置？chmod实战指南

想要掌握web服务器上的目录权限设置，你至少需要学会三条命令：chmod、chown、ls -l。

先看一个典型的目录权限输出：

drwxr-xr-x 2 www www 4096 Feb 20 10:34 uploads

这行文字拆开解读：

• d代表这是一个目录
• rwxr-xr-x是权限位，第一个三位是属主权限，第二个三位是属组权限，第三个三位是其他用户权限



• 两个www分别是属主和属组
• uploads是目录名

数值法计算权限

读=4，写=2，执行=1，把数字加起来就是一组权限，比如7代表rwx，5代表r-x，4代表r–。

网站部署中最常用到的组合：

• 755：属主可读写执行，属组和其他人可读可执行，适用于目录
• 644：属主可读写，属组和其他人只读，适用于普通文件
• 700：仅属主有全部权限，其他人进不去
• 600：仅属主可读写，适用于敏感配置文件

实操：给网站目录设置755权限

登录服务器后，进入网站根目录的上级目录,执行：

chmod -R 755 /var/www/html

-R参数代表递归，把下边所有子目录都改掉，如果只想改文件,用find配合：

find /var/www/html -type f -exec chmod 644 {} ;

这条命令把目录下所有文件设为644，目录保留755,这也是各大云厂商初始化环境时的常用做法。

用chown调整属主属组

光有权限位还不够，属主不对，权限也白搭，很多VPS主机的站点目录需要交给www用户运行,命令如下：

chown -R www:www /var/www/html

执行完再使用ls -l查看，确认属主已变成www，这一步经常被忽略,但恰是权限问题的第一起火点。

目录权限755和644的区别，哪种组合适合网站目录

这两个数字在web服务器上出现频率最高,755和644的区别核心在写权限和执行权限的分配方式。

看下表对比：

网站根目录为什么要用755

因为web服务器进程要进入目录读取文件，就必须有目录的执行权限，目录没有执行权限，就算文件是644，用户访问也会得到403 Forbidden，所以

目录统一用755，文件统一用644,是最省心的组合。

哪些目录需要特殊对待

• 上传目录：比如uploads、avatar，如果程序需要写入，把目录设为755，属主改成www，如果程序还需要删除文件，可能得临时用775，或者把属组设为www并给属组写权限
• 缓存目录：程序运行时会生成编译缓存或页面缓存，同样需要写权限，不能设为只读
• 存放用户上传内容的目录：部分安全策略会要求去掉执行权限，防止攻击者上传脚本直接运行

网站目录权限设置出错怎么办？常见报错排查

权限问题最常见的三种报错场景,排查思路分别如下。

首页能开但图片全部裂开

这种情况通常是静态资源目录没有读权限，在浏览器里按F12打开开发者工具，找到某个404或403的图片地址，再回到服务器上查看那个文件的实际权限，多半是上传压缩包解压后,权限被软件默认成了600。

打开网页出现500 Internal Server Error

PHP文件没有执行权限的情况比较少见，更多是文件属主不对，导致会话文件写不进去，检查一下session目录和日志目录的写权限,再把属主统一改回web用户。

上传图片提示“写入失败”

这是典型的上传目录写权限问题，目录当前权限可能是555或者属主不是web用户，解决办法是在目录下执行chown，把属主改成运行web服务的用户,再用chmod确保写开关是打开的。

第一步：查看web服务器进程用户

在Linux服务器上执行：

ps aux | grep nginx

或者：

ps aux | grep apache

看到的第一列就是运行用户，一般是www-data、nginx或apache，确认这个用户之后，再回到目录上用ls -l检查它是否在属组或属主位置上拥有对应权限。

第二步：验证当前目录权限

ls -ld /var/www/html

输出的权限位可以一次性确认三件事：目录是否可读、是否可执行、属主是否是web用户，如果属主不对,再执行一次chown命令。

第三步：测试最小权限组合

不知道具体需求时，先把目录设为755，文件设为644，刷新页面，多数情况下问题能解决，如果还不行，检查是否被SELinux或安全软件拦截,生产环境可以使用如下命令查看SELinux状态：

getenforce

如果显示Enforcing，就需要调整上下文或临时关闭观察,但这属于另一类话题了。

windows服务器目录权限怎么设置？IIS环境实操

Windows服务器上的核心逻辑类似，操作界面更直观，通过IIS管理器右键站点目录，选择“编辑权限”，再进入“安全”选项卡,就能看到类似Linux权限的账户列表。

关键区别在账户上，IIS默认使用IUSR账户访问站点文件，所以必须给IUSR以及IIS_IUSRS组分配读取和执行权限，如果站点需要写入功能，比如上传文件，还需要给IUSR添加“修改”或“写入”权限。

NTFS权限与共享权限的区别

NTFS权限在磁盘文件系统层面生效，共享权限是在网络访问层面生效，两者取交集，所以经常出现“账户有共享权限但没NTFS权限”导致无法访问的情况,有经验的管理员会先把两个位置都检查一遍。

Q&A：web服务器目录权限常见问题

目录权限设置为777安全吗

不安全，777代表所有用户对所有目录文件可以读写执行，一旦web程序存在漏洞，攻击者可以上传脚本并直接运行，进而拿到服务器控制权，生产环境不建议出现777目录,只在开发环境临时使用。

修改目录权限后需要重启web服务器吗

不需要，权限是文件系统的属性，修改后立即生效，但如果通过FTP工具修改，部分FTP程序有缓存，重新连接再查看一次即可确认结果，Nginx和Apache本身不需要重启,刷新页面就能看到变化。

虚拟主机用户如何检查web服务器上的目录权限

登录FTP或主机控制面板，找到文件管理器，直接右键查看属性，大部分虚拟主机面板提供权限数字输入框，可以直接填755或644，如果修改完仍报错,联系主机商确认web服务运行账户。