Apache2服务器中PHP执行Python脚本遇权限拒绝问题

我需要在Apache2服务器中通过PHP执行Python脚本，执行前需切换至Python脚本所在目录、创建Python虚拟环境并安装所有依赖，但目前出现权限拒绝错误。已将www-data用户加入项目目录所属的ubuntu用户组，并将项目目录权限设置为777，相关PHP代码如下：

// Print current working directory for debugging
echo "Current working directory: " . getcwd() . "<br>";

// Change the directory to the project directory
//chdir($projectDir);
// Attempt to change directory to the project directory
if (!chdir($projectDir)) {
    echo "Failed to change directory to $projectDir\n";
    exit(1);
}

echo "Changed directory to $projectDir\n";
/*
// Step 1: Check if virtual environment exists, create if not
if (!file_exists($venvPath)) {
    $createVenvCommand = "python3 -m venv $venvPath";
    $createVenvOutput = shell_exec("$createVenvCommand 2>&1");
    if ($createVenvOutput === null) {
        echo "Failed to create virtual environment:\n";
        echo "Command: $createVenvCommand\n";
        exit(1);
    } else {
        echo "Virtual environment created successfully.\n";
    }
} else {
    echo "Virtual environment already exists.\n";
}

// Step 2: Install dependencies
$installDepsCommand = "$venvPath/bin/pip install -r $requirementPath";
$installDepsOutput = shell_exec("$installDepsCommand 2>&1");
if ($installDepsOutput === null) {
    echo "Failed to install dependencies:\n";
    echo "Command: $installDepsCommand\n";
    exit(1);
} else {
    echo "Dependencies installed successfully.\n";
}

// Step 3: Execute the Python script
$executeScriptCommand = "echo '4255' | sudo -S sh -c 'python3 $pyScript --slug 'utopiaa-farmland''";
$scriptOutput = shell_exec("$executeScriptCommand 2>&1");
if ($scriptOutput === null) {
    echo "Failed to execute Python script:\n";
    echo "Command: $executeScriptCommand\n";
    exit(1);
} else {
    echo "Python script executed successfully:\n" . $scriptOutput;
}

exit(0);

排查与解决建议 #

• 检查目录权限链：虽然项目目录设为777，但上级目录的权限可能限制www-data访问，确保从根目录到项目目录的每一级都有www-data可读可执行权限（至少755）。
• 移除硬编码sudo密码：当前代码通过echo '4255' | sudo -S传递密码，既不安全也容易因权限配置失败。正确操作：
  1. 用visudo编辑sudoers文件，添加www-data ALL=(ALL) NOPASSWD: /path/to/your/venv/bin/python（指定虚拟环境的Python路径，最小化权限）
  2. 修改执行命令为sudo $venvPath/bin/python $pyScript --slug 'utopiaa-farmland'，无需传递密码
• 验证虚拟环境创建权限：执行sudo -u www-data mkdir test_dir测试项目目录下的写入权限，排查是否有ACL或SELinux限制导致无法创建虚拟环境。
• 直接使用虚拟环境Python：执行脚本时调用虚拟环境内的Python（$venvPath/bin/python），而非系统Python，避免环境依赖问题，同时减少sudo的使用场景。
• 查看Apache错误日志：检查/var/log/apache2/error.log，获取更详细的权限拒绝细节，比如文件访问、命令执行的具体报错信息。

内容的提问来源于stack exchange，提问作者Subrath kumar