PHP：权限 777 是安全问题吗？

Question

我正在尝试使用 html/php 表单上传文件。 而且我不断收到此错误：

PHP 警告：move_uploaded_file(/var/www/html/envioDoc/archivosAlumnos/archivo-dni-)：无法打开流：/var/www/html/envioDoc/avisos-de-pago.php 中的权限被拒绝第 45 行，引用者：http://54.85.84.42/envioDoc/index.html

我的 php 文件中的第 45 行是 move_uploaded_file() 函数。

所以，我已经在服务器上的命令行中完成了这个：

ps aux | grep httpd

结果的第一列是我登录的用户名：ubuntu

然后：

sudo chown ubuntu /var/www/html/envioDoc/archivosAlumnos

chmod -R 0755 /var/www/html/envioDoc/archivosAlumnos

但是错误一直出现，所以我把烫发改成了0777。

这不安全吗？为什么它不适用于 0755？

Answer 1

我相信你需要设置权限0777，因为php需要写文件的能力，因为php经常在自己的用户下运行自己的进程，它将无法写文件。权限 0777 仅表示您希望允许所有进程能够读写和执行文件，而 0755 仅允许所有者读写和执行文件，而其他用户（例如 php）只能读取和执行。

现在关于安全性：

因为这里唯一真正的改变是授予 php 写权限。现在这本身并不是一个安全问题，只要您正在清理您允许上传的文件。但从技术上讲，它确实为您打开了更多攻击媒介，例如恶意文件上传，您确实没有其他方法可以允许文件上传，这完全取决于您如何处理文件，例如将某些扩展名列入黑名单并确保文件大小限制以确保您的服务器安全。

附注：

您可能还想删除该文件夹的执行权限，因为您不应该将正在运行的任何 php 文件存储在您希望上传文件的同一目录中，这是您不应该的。你的文件上传目录应该只有读写权限，不需要执行权限，运行下面的命令

chmod go+rw file

相当于：

chmod -R 0666 /Mohammad/is/cool

这将使组和其他人可以读写文件。你可以阅读更多关于here和here的信息