PHP fopen() 在文件上失败，即使具有广泛的开放权限

Question

我目前正在将 LAMP 从 Windows Server 迁移到运行 Debian 6 的 VPS。大多数情况都正常，但是其中一个 PHP 脚本无法写入其配置的日志文件。我无法确定原因，因此我编写了一个新的、简单的、人为的 PHP 脚本来测试该问题。

<?php
        ini_set('display_errors', 1);
        error_reporting(E_ALL);
        echo exec('whoami');
        $log = fopen('/var/log/apache2/writetest/writetest.log', 'a');
        if ($log != NULL)
        {
                fflush($log);
                fclose($log);
                $log = NULL;
        }
?>

但是，它失败了，结果是：

www-data Warning: fopen(/var/log/apache2/writetest/writetest.log): failed to open stream: Permission denied in /var/www/_admin/phpwritetest.php on line 5 

• 虽然我通常不会这样做，但为了帮助诊断，我将 /var/log/apache2/writetest/writetest.log 设置为 chmod 777。
• 目录和文件归 www-data:www-data 所有。
• 该文件是使用 touch 创建的。

我运行了 strace 来验证哪个进程正在执行打开：

[pid 21931] lstat("/var/log/apache2/writetest/writetest.log", 0x7fff81677d30) = -1 EACCES (Permission denied)
[pid 21931] lstat("/var/log/apache2/writetest", 0x7fff81677b90) = -1 EACCES (Permission denied)
[pid 21931] open("/var/log/apache2/writetest/writetest.log", O_RDWR|O_CREAT|O_TRUNC, 0666) = -1 EACCES (Permission denied)

我检查了 pid 21931 确实是在 www-data 下运行的 apache2 子进程之一。正如您所看到的，我还在脚本中添加了 echo exec('whoami');，以确认该脚本正在由 www-data 运行。

其他注意事项：

• PHP 未在安全模式下运行
• PHP open_basedir 未设置
• 版本信息： Apache/2.2.16 (Debian) PHP/5.3.3-7+squeeze3 with Suhosin-Patch mod_ssl /2.2.16 OpenSSL/0.9.8o
• uname -a: 2.6.32-238.19.1.el5.028stab092.2 #1 SMP Thu Jul 21 19:23:22 MSD 2011 x86_64 GNU/Linux
• 这是在 OpenVZ ls -l 下运行的 VPS 上
• （文件): <代码>-rwxrwxrwx 1 www-data www-data 0 Sep 8 18:13 writetest.log
• ls -l (directory): drwxr-xr-x 2 www-data www-data 4096 Sep 8 18:13 writetest
• Apache2 的父进程在 root，并且www-data下的子进程
• selinux没有安装（感谢Fabio提醒我提到这一点）
• 我已经重新启动了apache很多次次并重新启动服务器

Answer 1

请记住，为了访问文件，所有父目录都必须可由 www-data 读取。您 strace 输出似乎表明即使访问 /var/log/apache2/writetest 也失败。确保 www-data 对以下目录具有权限：

• / (rx)
• /var (rx)
• /var/log (rx)
• /var/log/apache2 (rx)
• /var/log/apache2/writetest (rwx)
• /var/log/apache2/writetest/writetest.log ( rw-)

Answer 2

进行写入的 php 文件是否设置了适当的权限？尝试更改这些内容以查看是否是问题所在。

Answer 3

可能是 SELinux 问题，即使 Debian 没有在默认安装中提供它，您的提供商也可以启用它。在 /var/log 中查找消息，

grep -i selinux /var/log/{syslog,messages}

如果这是原因并且您需要禁用它，请参阅以下说明：查找文件 /etc/selinux/config，这里是默认内容。将 SELINUX 指令更改为 disabled 并重新启动系统。

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#   enforcing - SELinux security policy is enforced.
#   permissive - SELinux prints warnings instead of enforcing.
#   disabled - SELinux is fully disabled.
SELINUX=disabled
# SELINUXTYPE= type of policy in use. Possible values are:
#   targeted - Only targeted network daemons are protected.
#   strict - Full SELinux protection.
SELINUXTYPE=targeted