Docker容器中php-fpm+Laravel+Supervisor的用户权限问题咨询

核心问题解答 #

1. 生产环境用www-data运行PHP-FPM是否合规？是否需要单独创建用户？ #

• 用www-data完全合规，这是Nginx、Apache等Web服务器默认的运行用户，生态支持成熟，大量生产环境都采用该方案。
• 单独创建用户（比如你Dockerfile里的backend）也可行，优势是权限隔离更精细，避免与其他服务共享用户；劣势是需要额外维护用户权限规则。两种方案都符合安全规范，可根据团队习惯和实际需求选择。
• 你当前代码文件属主设为backend、PHP-FPM用www-data的权限模型很合理：文件属主（backend）拥有读写权限，运行用户（www-data）仅拥有读权限（仅storage、bootstrap/cache这类需要写入的目录例外），这种权限分离能有效降低入侵后的风险范围。

2. 如何整合PHP-FPM、Supervisor（及未来的Cron）？ #

推荐用Supervisor统一管理所有进程，替代当前的shell wrapper脚本，稳定性和可维护性更强：

• 将PHP-FPM、Laravel队列Worker、Cron都配置为Supervisor的子进程，由Supervisor负责启动、重启和监控所有进程。
• 这种方式避免了shell脚本管理多进程的不稳定问题，Supervisor会自动重启崩溃的进程，还能统一收集和查看各进程日志。

3. 如何指定用户启动PHP-FPM？ #

有两种常用实现方式：

方式一：修改PHP-FPM配置文件

PHP-FPM默认配置文件路径为/usr/local/etc/php-fpm.d/www.conf，找到user和group配置项，替换为目标用户：

user = www-data
group = www-data

在Dockerfile中可通过sed命令直接替换：

RUN sed -i 's/user = www-data/user = www-data/g' /usr/local/etc/php-fpm.d/www.conf
RUN sed -i 's/group = www-data/group = www-data/g' /usr/local/etc/php-fpm.d/www.conf
# 若要切换为backend用户，替换对应字段即可

方式二：启动PHP-FPM时指定用户

启动php-fpm时通过-u和-g参数直接指定用户和用户组：

php-fpm -u www-data -g www-data

修改后的配置文件示例 #

1. Dockerfile调整 #

FROM php:8.1-fpm

# Copy composer.lock and composer.json
COPY composer.lock composer.json /var/www/

# Set working directory
WORKDIR /var/www

# Install system dependencies
RUN apt-get update && apt-get install -y \
    build-essential \
    git \
    curl \
    libpng-dev \
    libjpeg62-turbo-dev \
    libfreetype6-dev \
    locales \
    libonig-dev \
    libxml2-dev \
    zip \
    jpegoptim optipng pngquant gifsicle \
    vim \
    unzip \
    libpq-dev \
    zlib1g-dev \
    libzip-dev \
    supervisor \
    cron \
    sudo

# Clear cache
RUN apt-get clean && rm -rf /var/lib/apt/lists/*

RUN pecl install -o -f redis \
&&  rm -rf /tmp/pear \
&&  docker-php-ext-enable redis

# Install PHP extensions
RUN docker-php-ext-install intl pdo pdo_pgsql pgsql mbstring exif pcntl bcmath gd zip
# Get latest Composer
COPY --from=composer:latest /usr/bin/composer /usr/bin/composer

# Add user for laravel application
RUN groupadd -g 1000 backend
RUN useradd -u 1000 -ms /bin/bash -g backend backend

# Copy existing application directory contents
COPY . /var/www

# 设置权限：代码文件属主为backend，仅storage和bootstrap/cache给www-data写入权限
RUN chown -R backend:backend /var/www \
    && chmod -R 755 /var/www \
    && chown -R www-data:www-data /var/www/storage /var/www/bootstrap/cache \
    && chmod -R 775 /var/www/storage /var/www/bootstrap/cache

# 修改PHP-FPM运行用户为www-data
RUN sed -i 's/user = www-data/user = www-data/g' /usr/local/etc/php-fpm.d/www.conf \
    && sed -i 's/group = www-data/group = www-data/g' /usr/local/etc/php-fpm.d/www.conf

# 配置Supervisor：管理php-fpm、laravel队列、cron
COPY --chown=root:root docker-compose/app/supervisor.conf /etc/supervisor/conf.d/supervisord.conf

# 配置Cron任务（示例：每分钟执行Laravel调度）
RUN echo "* * * * * www-data php /var/www/artisan schedule:run >> /var/log/cron.log 2>&1" >> /etc/cron.d/laravel-scheduler \
    && chmod 0644 /etc/cron.d/laravel-scheduler \
    && touch /var/log/cron.log

# Expose port 9000
EXPOSE 9000

# 直接启动Supervisor，由它管理所有进程
CMD ["supervisord", "-n"]

2. Supervisor配置文件（docker-compose/app/supervisor.conf） #

[supervisord]
nodaemon=true
logfile=/var/log/supervisor/supervisord.log
pidfile=/var/run/supervisord.pid

[program:php-fpm]
command=php-fpm
user=root  # PHP-FPM本身会切换到www-data，此处用root启动无问题
autostart=true
autorestart=true
stdout_logfile=/var/log/php-fpm.log
stderr_logfile=/var/log/php-fpm-error.log

[program:laravel-queue]
command=php /var/www/artisan queue:work --sleep=3 --tries=3
user=backend  # 用backend用户运行队列，与代码属主一致，避免权限问题
autostart=true
autorestart=true
stdout_logfile=/var/log/laravel-queue.log
stderr_logfile=/var/log/laravel-queue-error.log
process_name=%(program_name)s_%(process_num)02d
numprocs=2  # 根据业务需求调整进程数量

[program:cron]
command=cron -f
user=root
autostart=true
autorestart=true
stdout_logfile=/var/log/cron.log
stderr_logfile=/var/log/cron-error.log

3. 移除原my_wrapper_script.sh #

改用Supervisor统一管理进程后，该脚本不再需要。

内容的提问来源于stack exchange，提问作者Антон Макогонов