使用PDFlib写入PDF文件出现Permission error权限错误如何解决

Couldn't open PDF file 'file.pdf' for writing (permission denied)

核心排查步骤 #

• 校验实际生效的ACL权限
  目录权限后带+说明配置了ACL访问控制列表，传统ls -l展示的ugo权限不是最终生效规则。执行getfacl /path/to/your/target/directory查看完整ACL规则，重点确认：
  • PHP运行用户是否被明确授予写入权限
  • 是否存在优先级更高的deny规则拦截了写入请求
• 确认PHP进程实际运行身份
  不要默认认为进程是www-data/apache/nginx，可在同目录下新建测试PHP文件执行<?php echo exec('whoami'); ?>获取实际运行用户，也可以直接查看php-fpm配置文件中的user、group配置项，避免给错用户权限。
• 排查安全模块拦截
  AWS默认的Linux实例（Amazon Linux、CentOS、RHEL等）默认开启SELinux，Ubuntu实例默认开启AppArmor，这类强制访问控制模块的权限优先级高于传统文件权限：
  • 临时关闭SELinux测试：执行sudo setenforce 0，如果恢复正常即可确认是SELinux问题，无需永久关闭SELinux，执行以下命令给目录打正确的上下文标签即可：

    sudo chcon -R -t httpd_sys_rw_content_t /path/to/your/target/directory
    sudo semanage fcontext -a -t httpd_sys_rw_content_t "/path/to/your/target/directory(/.*)?"
    sudo restorecon -Rv /path/to/your/target/directory
    

  • 若为Ubuntu系统可检查AppArmor规则，确认web服务/PHP进程的写入目录未被限制。
• 校验写入路径正确性
  代码中如果使用相对路径写入文件，PHP运行时的工作目录可能和你预期的目录不一致，导致你校验权限的目录并非实际写入目录。建议将代码中的文件路径替换为绝对路径（例如/var/www/html/pdf/output/file.pdf）后再测试。
• 检查同名文件权限
  若目标目录中已存在同名的file.pdf文件，即使目录有写入权限，若文件本身为只读权限也会报错，可先删除已有同名文件或调整文件权限后重试。
• 校验PDFlib目录白名单配置
  检查php.ini或者PDFlib扩展的配置项，确认是否配置了允许写入的目录白名单，目标目录若不在白名单内也会被拦截。

验证方法 #

完成上述排查调整后，可先使用PHP运行用户模拟写入测试，例如运行用户为www-data时执行：
sudo -u www-data touch /path/to/your/target/directory/test.txt
如果该命令执行成功，说明系统层面权限已正常，再运行PDFlib业务代码验证即可。

内容的提问来源于stack exchange，提问作者Raul