Linux下PHP脚本读取异主文件的权限问题及解决方案咨询

问题背景 #

• PHP脚本所有者为apache:apache，目标TXT文件所有者为mis_admins:portalemis
• TXT文件由不可修改的脚本自动生成，每5分钟刷新一次，权限为-rw-------
• 当前PHP读取函数始终返回FNT，原因是权限不足；将文件所有者改为apache:apache虽能读取，但会导致原脚本无法更新文件

可行解决方案 #

方案1：通过ACL给apache用户添加文件读权限 #

这是最灵活的方案，无需修改用户组或文件所有权，且不影响原脚本的更新逻辑：

1. 给目标TXT文件添加apache用户的读权限：

   setfacl -m u:apache:r /path/to/your/txt/file.txt
   

2. 为确保后续生成的新文件自动继承该权限，给文件所在目录设置默认ACL：

   setfacl -d -m u:apache:r /path/to/the/txt/directory/
   

3. 验证ACL配置生效：

   getfacl /path/to/your/txt/file.txt
   

   输出中应包含user:apache:r--的条目

方案2：调整文件组权限并将apache加入对应组 #

若原脚本生成文件的umask允许继承目录权限，可采用此方案：

1. 将apache用户加入portalemis用户组：

   usermod -aG portalemis apache
   

2. 重启apache服务使组变更生效：

   systemctl restart httpd  # 若为Debian/Ubuntu系，替换为apache2
   

3. 修改现有TXT文件的组读权限：

   chmod g+r /path/to/your/txt/file.txt
   

4. 配置文件所在目录的默认权限，让新生成的文件自动继承组读权限：

   chmod g+rws /path/to/the/txt/directory/
   

   解释：s位确保新文件继承目录的组，g+r赋予组读权限，apache作为组成员即可读取文件

方案3：使用sudo授权PHP脚本读取文件 #

若上述方案无法实施，可通过sudo让apache临时以mis_admins身份读取文件：

1. 编辑sudoers文件（必须用visudo避免语法错误）：

   visudo
   

2. 添加以下配置行：

   apache ALL=(mis_admins) NOPASSWD: /bin/cat /path/to/your/txt/file.txt
   

3. 修改PHP读取函数，通过sudo cat读取文件：

   function readfilelinux($file,$azione)
   {
       $filePath = escapeshellarg($file);
       exec("sudo -u mis_admins cat {$filePath}", $output, $exitCode);
       
       if ($exitCode === 0) {
           return $output;
       } else {
           return "FNT";
       }
   }
   

   注意：使用escapeshellarg避免命令注入风险，确保sudo配置正确

内容的提问来源于stack exchange，提问作者Fabio