Laravel应用Cronjob切换www-data后失效及日志权限问题解决

方案一：让Cronjob以www-data用户正常运行 #

问题核心在于alpine的crond对crontab文件权限有严格要求（必须为600），且非root用户任务需要匹配正确的容器上下文配置。按以下步骤调整：

1. 配置Kubernetes Cronjob运行用户
   直接在Cronjob的Pod模板中指定securityContext，让容器以www-data用户（UID=33，GID=33）运行，无需手动切换用户：

apiVersion: batch/v1
kind: CronJob
metadata:
  name: laravel-scheduler
spec:
  schedule: "* * * * *"
  jobTemplate:
    spec:
      template:
        spec:
          securityContext:
            runAsUser: 33       # www-data的UID
            runAsGroup: 33      # www-data的GID
            fsGroup: 33         # 确保挂载存储目录的组权限正确
          containers:
          - name: laravel-cron
            image: php:7.4-fpm-alpine
            command:
            - /bin/sh
            - -c
            - |
              # 写入www-data用户的crontab任务
              echo "* * * * * php /var/www/html/artisan schedule:run >> /dev/null 2>&1" > /var/spool/cron/crontabs/www-data
              # 设置crontab文件必须的600权限，否则crond会忽略任务
              chmod 600 /var/spool/cron/crontabs/www-data
              # 前台启动crond，日志输出到stdout方便K8s收集
              crond -f -L /dev/stdout
          restartPolicy: OnFailure

2. 验证效果
   部署后查看Pod日志，确认crond正常启动且任务按时执行；检查storage/logs下的日志文件所有者应为www-data。

方案二：保留root运行Cronjob，解决日志权限冲突 #

如果不想调整Cronjob运行用户，可通过以下方式规避日志权限问题：

方法1：执行命令时切换到www-data #

修改Crontab任务内容，用su命令切换用户执行artisan：

* * * * * su www-data -c "php /var/www/html/artisan schedule:run >> /dev/null 2>&1"

即使Cronjob以root运行，实际执行命令的是www-data用户，日志文件会以该用户身份创建。

方法2：调整日志目录权限 #

提前配置storage/logs目录权限，让root和www-data都能写入：

# 设置目录组为www-data，添加setgid位（新创建的文件自动继承组权限）
chown -R root:www-data /var/www/html/storage/logs
chmod -R 775 /var/www/html/storage/logs
chmod g+s /var/www/html/storage/logs

方法3：修改Laravel日志配置 #

在config/logging.php中为日志通道指定文件权限，确保生成的日志文件允许www-data写入：

return [
    'channels' => [
        'daily' => [
            'driver' => 'daily',
            'path' => storage_path('logs/laravel.log'),
            'level' => env('LOG_LEVEL', 'debug'),
            'days' => 14,
            'permission' => 0664, // 设置为rw-rw-r--，允许组用户写入
        ],
        // 其他通道配置...
    ],
];

内容的提问来源于stack exchange，提问作者Obada Qafisheh