宝塔面板站点权限修改教程

网站遭遇403错误或文件被恶意篡改，往往源于站点目录权限设置过宽，留下严重安全隐患；本文系统梳理五步加固方案——从文件管理器批量规范755/644权限、SSH命令强制重置属主与清除冗余权限，到计划任务每日自动校验、限制FTP/PHP运行用户为www，再到企业版专属的文件防篡改实时防护，层层设防，助您彻底堵住权限漏洞，让网站在安全基线上稳定运行。

如果您在宝塔面板中部署网站后遭遇403 Forbidden错误，或发现网站文件被意外修改、删除甚至植入恶意脚本，则很可能是站点目录权限设置过宽，导致非授权进程或用户可写入或执行敏感操作。以下是防止权限被篡改并正确加固站点目录权限的多种操作路径：

一、通过宝塔文件管理器批量设置标准权限

此方法适用于快速统一修正已上传文件与目录的权限结构，确保符合Apache/Nginx安全基线要求：文件应为644（所有者可读写，组与其他用户仅可读），目录应为755（所有者可读写执行，组与其他用户可读执行）。

1、登录宝塔面板，点击左侧菜单栏的【文件】进入文件管理器。

2、导航至目标站点根目录，路径通常为/www/wwwroot/您的域名/。

3、按住Ctrl键依次点击选中所有子目录（不选中上级wwwroot），右键选择【权限】。

4、在弹出窗口中将权限数字设为755，勾选【递归设置子目录】，点击确定。

5、再次按住Ctrl键选中所有.php、.html、.js、.css等文件（排除.htaccess、index.php等需保留写权限的特例），右键选择【权限】。

6、在弹出窗口中将权限数字设为644，勾选【递归设置子文件】，点击确定。

二、使用终端命令强制重置并锁定关键目录

当文件管理器无法覆盖深层嵌套权限，或需彻底清除“其他用户”写权限时，必须通过SSH终端执行chmod命令，配合chown固定属主属组，阻断非法写入链路。

1、在宝塔文件管理器中，进入站点根目录后点击右上角【终端】按钮。

2、执行以下命令，将整个站点目录所有权收归www用户与www组：chown -R www:www /www/wwwroot/您的域名/。

3、执行以下命令，移除所有目录对“其他用户”的写和执行权限：find /www/wwwroot/您的域名/ -type d -exec chmod 755 {} \;。

4、执行以下命令，移除所有文件对“其他用户”的写权限，并禁用执行位（除明确需要的入口文件）：find /www/wwwroot/您的域名/ -type f -exec chmod 644 {} \;。

5、单独为上传目录（如uploads、avatar、data）恢复写权限：chmod -R 750 /www/wwwroot/您的域名/uploads/。

三、配置宝塔计划任务定期校验权限完整性

该方法用于建立主动防御机制，防止因第三方插件、CMS自动更新或误操作导致权限被动态放宽，通过定时脚本自动回滚异常权限。

1、登录宝塔面板，点击左侧菜单栏的【计划任务】。

2、点击【添加计划任务】，类型选择Shell脚本。

3、在脚本内容框中粘贴以下代码：find /www/wwwroot/您的域名/ \( -type d -not -perm 755 \) -o \( -type f -not -perm 644 \) -exec chmod 755 {} \; 2>/dev/null; find /www/wwwroot/您的域名/ -type f -not -perm 644 -exec chmod 644 {} \; 2>/dev/null。

4、设置执行周期为每天凌晨2:00。

5、点击【添加任务】并确认启用。

四、限制FTP与PHP进程的权限边界

即使目录权限合规，若FTP用户或PHP-FPM进程以高权限运行，仍可能绕过文件系统限制进行写入。需从服务层切断越权路径。

1、进入【网站】→ 选择站点 → 【设置】→ 【配置修改】，检查PHP版本所用的运行用户是否为www，而非root或nobody。

2、进入【软件商店】→ 找到当前PHP版本 → 【设置】→ 【配置修改】，将listen.owner和listen.group均设为www。

3、进入【FTP】页面，编辑对应站点的FTP账户，在【根目录】字段中将其限定为/www/wwwroot/您的域名/，取消勾选【允许访问上级目录】。

4、重启PHP服务：systemctl restart php-fpm（具体版本号需补全，如php-fpm-80）。

五、启用宝塔文件防篡改功能（企业版专属）

对于已开通宝塔企业版的用户，可直接调用内建的文件完整性监控模块，对核心文件实施只读锁定与变更告警，无需依赖外部工具。

1、登录宝塔面板，点击左侧【安全】菜单。

2、在安全中心界面找到并点击【文件防篡改】功能卡片。

3、点击【添加防护目录】，输入路径：/www/wwwroot/您的域名/。

4、在防护规则中勾选：禁止新增文件、禁止修改文件内容、禁止删除文件。

5、点击【立即启用】，系统将自动为该目录下所有文件设置不可变属性（chattr +a）。

本篇关于《宝塔面板站点权限修改教程》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！