什么是 WordPress 文件权限？
你是否听说过 WordPress 文件权限，却不确定自己的设置是否正确？或者收到了权限不足的错误提示？无论哪种情况，这篇文章都能帮到你。 文件权限是网站安全的重要组成部分。它们不仅能锁定网站安全，还能让 WordPress 本身、插件和其他脚本拥有修改所需文件的权限。 但有时也会出现问题——错误提示突然弹出，或者文件权限被改成不正确的值。在这种情况下，了解 WordPress 文件权限的工作原理就显得尤为重要。今天我们就来详细讲解这些内容。
理解文件权限级别
要学会如何修改 WordPress 文件权限，首先要掌握基础知识，这需要了解 Linux 权限系统。
文件权限类型
文件有三种主要权限类型，不仅可以针对单个文件设置，也可以针对整个目录或文件夹设置：
- 读取（r） – 允许用户查看文件内容或目录中的文件名。
- 写入（w） – 允许用户修改文件内容，还可在目录中创建、删除或重命名文件。
- 执行（x） – 允许用户执行程序和脚本，或访问目录中的文件和子目录。
权限组
谁可以拥有这些权限？在 Linux 系统中，有三组用户可以访问文件或目录：
- 所有者（u） – 文件或目录的创建者，通常是所有者。
- 组（g） – 拥有共同权限级别的一组用户。任何用户可以属于一个或多个组。
- 其他用户（o） – 非文件所有者且不在指定组内的任何用户。
可以为每组用户设置不同的权限级别。在 WordPress 中，这被称为用户角色。例如，你不会希望普通订阅者拥有与管理员相同的权限，那样会带来严重的安全隐患。
符号表示法和数字表示法
文件权限可以用符号表示法或数字表示法来表示。 符号表示法使用上述字母表示读取（r）、写入（w）和执行（x）权限，无权限则用短横线（-）表示。三个一组，共三组：第一组表示所有者（u）权限，第二组表示组（g）权限，第三组表示其他用户（o）权限。 例如：rwxr-xr-- 表示所有者拥有完全权限（rwx），组拥有读取和执行权限（r-x），其他用户仅有读取权限（r–）。 数字表示法为每种权限分配一个数值：
- 读取（r）= 4
- 写入（w）= 2
- 执行（x）= 1
将三个数值相加，形成一个三位数，分别代表所有者、组和其他用户的权限。 同样以上面的例子为例：所有者权限为 7（r + w + x），组权限为 5（r + x），其他用户权限为 4（r）。因此该权限级别的数字表示法为 754。
WordPress 中的文件权限
在 WordPress 和网站的语境中，文件权限与上述原理相同，但也存在一些差异：
- 文件所有权 – 在 WordPress 环境中，文件和目录通常由 Web 服务器进程（Apache 为 www-data，NGINX 为 nginx）拥有，而非个人用户。
- 插件和主题注意事项 – WordPress 插件可能需要对特定文件和目录拥有读写权限才能正常工作。插件通常使用 Filesystem API 与服务器进行安全交互。
- 内置用户组 – 如前所述，WordPress 使用内置角色，如管理员、编辑者和贡献者。贡献者只能创建和编辑自己的文章，无法修改他人的文章。从功能上讲，他们对所有文章/页面文件拥有读取权限，对自己创建的文章/页面文件拥有读写权限。
- 注意共享托管环境 – 共享托管可能会带来文件权限问题。某些文件可能被锁定，以防止同一服务器上的其他用户访问敏感数据。你可能会发现某些文件即使对管理员也设为只读，需要 root 权限才能编辑。
错误文件权限的风险
为什么文件权限如此重要？这个看似技术性的话题与网站安全息息相关。权限设置过于宽松会带来严重风险：
- 黑客攻击和恶意软件 – 不正确的权限可能让黑客有机可乘，为所欲为，包括安装恶意软件、查看私密文件或删除整个网站。
- 网站接管 – 如果有人由于权限设置宽松而成功入侵你的网站，他们可以轻松夺取账户所有权，将你锁在自己的网站之外。
- 数据泄露 – 不正确的权限可能导致访问者获得私密文件的访问权限，包括图片、未完成的测试/草稿页面和机密数据。
- 文件访问不当 – 某些权限可能允许用户修改网站上的现有文件，或上传和执行恶意文件（如恶意软件脚本）。
但权限问题不仅仅是开放过度，过于严格的限制同样会出问题。如果权限设置得过于严格，WordPress 将无法正常工作，网站必然会崩溃。文件权限需要在“过度”和“不足”之间找到平衡。
WordPress 文件权限最佳实践
在开始检查网站文件之前，了解 WordPress 文件权限的最佳实践非常重要。
非必要时不修改权限
首先需要记住的是，大多数情况下你不需要修改文件权限。如果你使用的是优质的托管商，并且正确安装 WordPress，这部分应该已经自动配置正确。
推荐的文件权限设置
如果确实遇到了问题，但不确定文件和目录应该设置什么权限，可以参考 WordPress 官方文档。 以下是通常推荐的一些权限设置，但请记住，具体数值取决于你的服务器环境：
- 目录 — 755（rwxr-xr-x）。为保证服务器正常运行，大多数目录需要执行权限。
- 文件 + .htaccess — 644（rw-r–r–）。这允许访问者查看网站上的公开文件，但无法编辑它们。大多数文件应该只对自己的用户账户可写。
- wp-config.php — 根据站点配置和安全需求，可能适用 400（r——–）、440（r–r—–）、600（rw——-）或 640（rw-r—–）。最关键的一步是阻止普通访问者访问这个重要文件。
不要过于严格
找到文件权限的正确平衡点可能让人头疼，但你不能把所有权限都设为 “000”。虽然网站会非常安全，但同时也没人能使用它了。 网站的各种功能——从 Web 服务器到插件再到 WordPress 本身——都需要访问特定的文件和目录才能正常运行。即使是访问者，虽然不应该给他们写入或执行大多数文件的权限，但至少需要能够”读取”网站的公开部分。 限制文件权限的诱惑很大，但你可能造成严重后果。当插件和功能停止工作时，仪表盘会出现大量警告。如果你切断了 WordPress 访问核心文件的权限，甚至可能导致网站出现可怕的白屏死机（White Screen of Death）。
遵循最小权限原则
最小权限原则要求：用户（包括你的 Web 服务器和 WordPress 本身）只应获得完成其工作所必需的访问权限。 授予 “root” 所有权意味着给予整个系统的完全控制权，这通常过于宽松。如果黑客获得了一个具有 root 权限的 WordPress 站点的访问权限，他们可能会对整个服务器造成严重破坏。 相反，大多数文件的所有者通常应该是你的 Web 服务器用户，常见的是 nginx（NGINX）或 www-data（Apache），这两者只拥有正常运作所需的权限。这能限制恶意行为者可能造成的损害。 有些情况下确实需要 root 所有权，所以如果你不理解自己在做什么，就不要随意更改权限。同时，看到 root 所有权也值得警惕——尤其是当你注意到文件或目录的所有者突然发生变化时。 在创建文件或分配所有权的任何其他情况下，都要遵循最小权限原则。不要分发过多的读取、写入或执行权限。你在服务器上创建的大多数文件都不需要 root 所有权。
修改前先备份网站
在修改网站上任何敏感设置之前，最佳实践是先备份网站和数据库文件。 修改文件权限时很容易出问题，所以备份提供了一个安全网。如果不小心把网站弄坏了，直接回滚服务器即可。
绝对不要使用 777
将任何文件或目录的权限设为 777，相当于给了世界上所有人对你的网站的完全控制权。 这允许任何普通访问者查看、编辑和删除文件，上传潜在的恶意程序，并执行脚本。显然，这是一个糟糕透顶的主意。 虽然看起来只是给一个文件完全权限没什么大不了，但一个老练的黑客可以轻易利用这一点来执行恶意脚本或提升权限，进一步深入你的服务器。所以千万别这么做。
如何修改 WordPress 文件权限
了解了文件权限的最佳实践后，让我们来看看如何在不同的服务器环境中修改它们。
通过 cPanel 或面板
大多数主机提供商都提供 cPanel 或自定义面板的访问权限。请查看你的主机提供商的文档，但在 cPanel 中通常可以进入文件管理器，然后右键点击任何文件夹或文件，点击”修改权限”。
通过 FTP/SFTP
你也可以使用 FTP/SFTP 访问来修改权限。首先安装 FTP 客户端（如 FileZilla），然后登录服务器。右键点击任何文件或文件夹，选择”文件权限”…… 然后，输入数字值或勾选要设置的复选框即可。
通过 SSH/命令行
这一步需要使用命令行访问工具。通常由你的 Web 服务器提供。你需要使用 cd 命令导航到要修改的文件或子目录所在的目录。例如：
cd public_html/example_folder然后使用 chmod 命令修改该文件夹中文件或子目录的权限：
chmod 755 example.html你也可以一次性递归设置整个目录的权限，但操作时要小心：
chmod -R 755 example_subfolder使用插件
一些安全插件可以让你轻松地在仪表盘中切换文件权限。例如 All-In-One Security (AIOS)。使用它可以修改文件权限、识别不安全的文件权限，并一键修复问题。
WordPress 中常见的文件权限错误
最后，让我们来看看 WordPress 中一些常见的文件权限错误及其原因。
常见文件权限错误及解决方法
403 Forbidden（禁止访问） 当用户缺乏读取权限时，会遇到此错误。例如，访问者尝试打开未发布的文章或页面时会出现该提示。如果是管理员遇到此错误，需检查相关权限设置。 必需文件权限缺失 某些插件可能会报此错误。这通常是因为网站文件的所有者不是 nginx 或 www-data 导致的。 文件无法保存 在 WordPress 编辑器中看到此提示，说明当前缺乏对相关文件的写入权限。 Permission denied. Error code: 3 尝试修改或上传文件时出现此错误。原因可能有多种：网站文件由 root 而非 nginx 或 www-data 拥有、需要 root 访问权限，或单纯缺少读写权限。 安装失败：无法创建目录 安装或更新主题、插件时出现此提示，表示 WordPress 没有目标目录的写入权限。
修改权限需谨慎
文件权限是网站安全的重要组成部分，修改时务必慎重。一次小小的调整可能导致网站崩溃，或让黑客更容易入侵。 不过，了解这些权限的工作原理仍然很有必要——当错误开始出现时，你就能知道问题出在哪里，以及该如何应对。现在你已经知道该做什么、不该做什么了。 遇到并解决了 WordPress 文件权限问题？ 欢迎在评论区分享你的经验，帮助其他遇到相同问题的用户！
