如何配置PHP应用在文档根目录外写入重启持久化文件？

先澄清PrivateTmp对/var/tmp的实际行为 #

systemd的PrivateTmp=true仅会为进程创建独立的私有/tmp子目录，并不会隔离/var/tmp——这是因为/var/tmp的设计目标是存储需要跨系统重启保留的临时文件，而PrivateTmp的核心作用是隔离进程的临时文件、避免污染全局/tmp空间，两者定位不冲突。手册里提及/var/tmp属于描述模糊点，实际环境（比如RHEL9）中/var/tmp不会被PrivateTmp替换，也就不存在和“跨重启保留”的矛盾。

你测试中遇到的“PrivateTmp=true时无法写入/var/tmp/myApp”，大概率不是因为PrivateTmp的隔离，而是文件系统权限问题或者PHP的open_basedir限制。

实现需求的配置步骤 #

要在PrivateTmp=true的前提下，允许PHP-FPM写入/var/tmp/myApp，同时保证文档根目录只读，按以下步骤操作：

1. 配置/var/tmp/myApp的文件系统权限 #

为PHP-FPM的运行用户（通常是apache或nginx，取决于你的Web服务器）设置目录权限：

# 创建目标目录
mkdir -p /var/tmp/myApp
# 赋予PHP-FPM运行用户所有权
chown apache:apache /var/tmp/myApp
# 设置严格权限，避免其他用户篡改
chmod 700 /var/tmp/myApp

2. 调整php.ini的open_basedir限制 #

如果PHP启用了open_basedir，需要将/var/tmp/myApp加入允许访问的路径列表：
编辑对应PHP版本的配置文件（比如/etc/php/8.2/fpm/php.ini）：

# 假设原open_basedir包含文档根目录，添加/var/tmp/myApp
open_basedir = /var/www/html:/var/tmp/myApp

注意：确保PHP-FPM运行用户对文档根目录（比如/var/www/html）只有读权限，无写权限，满足安全要求。

3. 针对多站点的pool配置（可选） #

如果是多站点环境，可以在对应pool的配置文件（比如/etc/php-fpm.d/www.conf）中单独设置open_basedir，覆盖全局配置：

php_admin_value[open_basedir] = /var/www/html/site1:/var/tmp/myApp

4. 确认并重启PHP-FPM服务 #

确保PHP-FPM的systemd服务文件（比如/usr/lib/systemd/system/php-fpm.service）中PrivateTmp=true：

[Service]
PrivateTmp=true
# 其他原有配置...

修改后重新加载systemd并重启服务：

systemctl daemon-reload
systemctl restart php-fpm

5. 测试写入权限 #

在文档根目录创建测试脚本，验证写入/var/tmp/myApp的权限：

<?php
$testFile = '/var/tmp/myApp/test_write.txt';
$content = '测试写入权限：' . date('Y-m-d H:i:s');

if (file_put_contents($testFile, $content)) {
    echo "写入成功，文件路径：{$testFile}";
} else {
    echo "写入失败，请检查权限或配置";
}
?>

访问该脚本确认写入成功，同时可以测试写入文档根目录的文件，应该返回失败，验证只读配置生效。

额外排查点 #

如果仍然写入失败，检查SELinux规则（RHEL9默认启用）：

# 查看近期SELinux阻止的操作
ausearch -m avc -ts recent
# 为目录添加正确的SELinux上下文
semanage fcontext -a -t httpd_sys_rw_content_t "/var/tmp/myApp(/.*)?"
restorecon -Rv /var/tmp/myApp

内容的提问来源于stack exchange，提问作者mayfly