SilverStripe中www-data与beanstalk用户dev/build权限冲突解决方案咨询

问题背景 #

在SilverStripe项目中，通过浏览器（运行用户www-data）或CLI（仅能使用beanstalk用户执行）执行dev/build时，频繁出现权限冲突错误，取决于上次的临时修复操作。CLI执行命令为：
php vendor/silverstripe/framework/cli-script.php dev/build flush=1

无法修改Web服务器或部署服务的用户，临时修复CLI执行权限时，需将以下文件/目录所有者改为beanstalk:www-data：

• /var/www/stage/public_html/.graphql-generated/
• /var/www/stage/public_html/public/assets/.protected/.htaccess
• /var/www/stage/public_html/public/assets/.htaccess
• /var/www/stage/public_html/public/asset/404-error.html
• /var/www/stage/public_html/public/asset/500-error.html

但临时修复后，无法再通过浏览器执行dev/build?flush，这给SilverStripe日常问题排查带来极大限制。

解决方案 #

一、文件权限与用户组优化 #

1. 统一核心目录组归属：将需要读写的目录组设置为www-data，并赋予组读写权限：

   chgrp -R www-data /var/www/stage/public_html/{.graphql-generated,public/assets,public/asset}
   chmod -R g+rw /var/www/stage/public_html/{.graphql-generated,public/assets,public/asset}
   

2. 设置SGID位：让核心目录下新生成的文件自动继承组权限：

   chmod g+s /var/www/stage/public_html/.graphql-generated/
   chmod g+s /var/www/stage/public_html/public/assets/
   chmod g+s /var/www/stage/public_html/public/asset/
   

3. 将beanstalk用户加入www-data组：确保该用户拥有组内读写权限：

   usermod -aG www-data beanstalk
   

二、SilverStripe配置调整 #

通过config.yml配置强制统一文件生成权限，解决assets模块的权限冲突问题：

SilverStripe\Assets\Flysystem\FlysystemAssetStore:
  default_server: 'SilverStripe\Assets\Flysystem\LocalServer'
  server_config:
    permissions:
      file:
        public: 0664
        protected: 0664
      dir:
        public: 02775
        protected: 02775

该配置会让新生成的文件默认使用0664（所有者/组读写，其他只读）权限，目录使用02775（SGID+所有者/组读写执行，其他读执行）权限，确保www-data和beanstalk用户都能正常访问和修改。

三、统一执行流程 #

1. 优先使用CLI执行dev/build，执行前确认上述权限配置已生效。
2. 若需通过浏览器执行dev/build?flush，确保已完成权限配置和SilverStripe参数设置，避免生成的文件出现权限冲突。

内容的提问来源于stack exchange，提问作者Will