Ubuntu环境下PHP与MariaDB数据交换的最佳目录建议

一、权限需求确认 #

没错，mysql用户仅需读权限就足够执行LOAD DATA LOCAL INFILE操作——这个命令只需要读取文件内容并导入到数据库，完全不需要修改或写入该文件。

二、Ubuntu系统中的最佳路径位置 #

绝对不要随便用自定义的/path，要遵循Ubuntu的文件系统层级标准（FHS），推荐以下两个路径：

1. /var/www/load-data-tmp/
   这是最贴合场景的选择：Apache/web服务的默认根目录在/var/www下，该目录天然归www-data所有，方便权限配置，且不会被系统自动清理，也能避免文件被web公开访问。
2. /var/lib/mysql-files/
   这是MariaDB官方指定的安全文件目录，默认配置下MariaDB仅允许读取这个目录下的文件（需在my.cnf中设置secure_file_priv=/var/lib/mysql-files）。但因为文件是PHP创建的，需要额外配置让www-data能写入该目录，相对麻烦一些。

要避开的路径： #

• /tmp/：系统会定期自动清理临时文件，可能导致LOAD DATA执行时文件已丢失，且权限过于开放，存在安全风险。
• /var/www/html/：网站根目录下的文件可能被公开访问，若文件包含敏感数据，极易引发泄露问题。

三、路径配置与权限设置步骤 #

以推荐的/var/www/load-data-tmp/为例：

1. 创建专用目录：

   sudo mkdir /var/www/load-data-tmp
   

2. 设置目录归属为www-data，确保PHP能读写：

   sudo chown www-data:www-data /var/www/load-data-tmp
   sudo chmod 750 /var/www/load-data-tmp
   

3. 给mysql用户添加目录访问和文件读取权限（用ACL更灵活）：

   sudo setfacl -m u:mysql:rx /var/www/load-data-tmp
   

4. PHP脚本中设置文件路径为/var/www/load-data-tmp/myfile.txt，创建文件后可将权限设为640，进一步缩小权限范围：

   $filePath = '/var/www/load-data-tmp/myfile.txt';
   // 创建文件并写入内容
   file_put_contents($filePath, $data);
   // 设置文件权限，确保mysql可读
   chmod($filePath, 0640);
   

四、最佳实践 #

• 权限最小化原则：仅给www-data分配目录的读写权限，给mysql仅分配目录的访问和文件的读取权限，绝不赋予多余权限。
• 临时文件及时清理：PHP脚本执行完LOAD DATA操作后，立即删除临时文件，避免磁盘占用和敏感数据残留。
• 限制LOCAL INFILE使用：如果业务不是必须依赖该功能，建议在/etc/mysql/mariadb.conf.d/50-server.cnf中添加local_infile=0禁用该功能，降低安全风险；若必须启用，严格控制文件路径，禁止用户自定义路径。
• 目录隔离：单独创建临时文件目录，不要和网站静态文件、日志文件混放，便于权限管理和安全审计。
• 监控与日志：开启MariaDB的慢查询日志或通用查询日志，监控LOAD DATA操作，便于排查异常问题。

内容的提问来源于stack exchange，提问作者Armin66