WordPress 文件权限完全指南：保护网站安全的核心知识
你是否听说过 WordPress 文件权限，却不确定自己的设置是否正确？或者收到了权限不足的错误提示？无论哪种情况，这篇文章都能帮到你。 文件权限是网站安全的重要组成部分。它们既能锁住网站的核心部分，又能让 WordPress 本身、插件和其他脚本正常修改所需的文件。 但有时也会出现问题：错误提示突然出现，或者文件权限被改成了不正确的值。在这种情况下，了解 WordPress 文件权限的工作原理就变得非常有用。
理解文件权限级别
要学会如何在 WordPress 中修改文件权限，首先要掌握基础知识，这就需要了解 Linux 权限系统。
权限类型
文件有三种主要类型的权限不仅可以针对单个文件设置，也可以针对整个目录设置：
- 读取（r） – 允许用户查看文件内容或目录中的文件名。
- 写入（w） – 允许用户修改文件内容，在目录中还可以创建、删除或重命名文件。
- 执行（x） – 允许用户执行程序和脚本，或访问目录中的文件和子目录。
权限组
谁可以拥有这些权限？在 Linux 中，有三类用户可以访问文件或目录：
- 用户（u） – 文件或目录的所有者，通常是创建者。
- 组（g） – 共享相同权限级别的一组用户，任何用户可以属于一个或多个组。
- 其他用户（o） – 既不是文件所有者，也不属于定义组的所有其他用户。
可以为每一类用户设置不同的权限级别。在 WordPress 中，这些被称为用户角色。例如，你肯定不希望普通订阅者拥有与管理员相同的权限，那样会带来严重的安全隐患。
符号表示法和数字表示法
文件权限可以用符号表示法或数字表示法来描述。 符号表示法使用上述字母来表示读取（r）、写入（w）和执行（x）权限，用横杠表示没有权限。三个一组共三组，第一组代表用户（u）权限，第二组代表组（g）权限，第三组代表其他用户（o）权限。 例如：rwxr-xr-- 表示用户拥有完全权限（rwx），组拥有读取和执行权限（r-x），其他用户只有读取权限（r–）。 数字表示法则为每种权限分配一个数值：
- 读取（r）= 4
- 写入（w）= 2
- 执行（x）= 1
将这些数值相加得到一个三位数，分别代表用户、组和其他用户的权限。 同样用上面的例子，用户的权限是 7（r + w + x），组的权限是 5（r + x），其他用户的权限是 4（r），所以数字表示法就是 754。
WordPress 中的文件权限
在 WordPress 和网站环境中，文件权限遵循上述相同原则，但也有一些需要特别注意的地方。
- 文件所有权 – 在 WordPress 环境中，文件和目录通常由 Web 服务器进程（Apache 为 www-data，NGINX 为 nginx）拥有，而不是单个用户。
- 插件和主题的注意事项 – WordPress 插件可能需要读取和写入特定文件和目录的权限才能正常工作。插件通常使用 Filesystem API 与服务器进行安全交互。
- 内置用户组 – 如前所述，WordPress 使用内置角色，如管理员、编辑者和贡献者。贡献者只能创建和编辑自己的文章，不能修改他人的文章。从功能上讲，这意味着他们对所有文章/页面文件有读取权限，对自己创建的文章/页面文件有读写权限。
- 注意共享托管环境 – 共享托管可能会带来文件权限问题。某些文件可能被锁定，以防止同一服务器上的其他用户访问敏感数据。你可能会发现即使对管理员来说，某些文件也是只读的，需要 root 权限才能编辑。
错误文件权限的风险
为什么文件权限如此重要？这个看似技术性的话题实际上关乎网站安全。权限设置过于宽松会带来以下风险：
- 黑客攻击和恶意软件 – 不正确的权限可能让黑客乘虚而入，为所欲为，包括安装恶意软件、查看私密文件或删除整个网站。
- 网站接管 – 如果有人因为权限设置宽松而成功入侵你的网站，他们可以轻易夺取账户所有权，让你无法访问自己的网站。
- 数据泄露 – 不正确的权限可能导致访问者获得私密文件的访问权限，包括图片、未完成的测试/草稿页面和机密数据。
- 错误的文件访问 – 某些权限可能允许用户修改网站上的现有文件，或上传和执行恶意软件脚本等破坏性文件。
但权限问题不仅是过于宽松，过于严格同样有害。权限设置过于限制会阻止 WordPress 正常运行，最终导致网站崩溃。文件权限需要在“太多”和“不够”之间找到平衡。
WordPress 文件权限最佳实践
在开始检查网站文件之前，了解 WordPress 中正确的文件权限配置非常重要。
非必要时不修改权限
首先需要记住，在大多数情况下，你不需要修改文件权限。如果你使用优质的托管商并正确安装 WordPress，这部分应该已经自动配置正确了。
延伸阅读
- Filesystem API
- WordPress 官方文档 – 文件权限
- cPanel 文件权限修改教程
- FileZilla FTP 客户端
- All-In-One Security (AIOS) 安全插件
推荐权限设置
如果确实遇到问题，不确定文件和目录应该设置什么权限，可以查阅 WordPress 官方文档。 以下是通常推荐的权限设置，但请记住具体数值因环境而异：
- 目录 – 755（rwxr-xr-x）。为保证服务器正常运行，大多数目录需要执行权限。
- 文件 + .htaccess – 644（rw-r–r–）。允许用户查看网站上的公开文件，但无法编辑。大多数文件应仅对自己的用户账户可写。
- wp-config.php – 取值因站点配置和安全需求而异。400、440、600 或 640 都可能是合适的选择。最重要的是防止普通访问者访问这个重要文件。
不要过于严格
寻找合适的权限平衡点可能让人头疼，但不能把所有权限都设为”000″。这样网站虽然安全了，但同时也没人能用。 网站的各种功能——从 Web 服务器到插件再到 WordPress 本身——都需要访问特定文件和目录才能正常工作。即使是访问者，虽然不应该拥有写入或执行大多数文件的权限，但至少需要能够”读取”网站的公开部分。 限制文件权限确实很诱人，但可能造成严重后果。当插件和功能停止工作时，控制台会显示大量警告。如果切断了 WordPress 访问核心文件的权限，甚至可能导致著名的”白屏死机”。
使用最小权限原则
最小权限原则要求只给予用户（包括 Web 服务器和 WordPress 本身）完成工作所必需的最小访问权限。 授予”root”所有权意味着完全控制整个系统，这通常过于极端。如果黑客获得了一个具有 root 权限的 WordPress 站点访问权限，整个服务器都可能遭殃。 大多数文件的所有者应该是 Web 服务器用户，通常是 nginx（NGINX）或 www-data（Apache），这些用户只拥有正常运作所需的权限。这能限制恶意行为者可能造成的损害。 某些情况下确实需要 root 所有权，所以如果不了解自己在做什么，就不要随意修改权限。与此同时，看到 root 所有权也可能值得警惕——特别是如果注意到文件或目录的所有者突然变了。 在其他创建文件或分配所有权的情况下，都应遵循最小权限原则。不要赋予过多的读、写或执行权限。在服务器上创建的大多数文件不需要 root 所有权。
修改前先备份网站
在修改网站上任何敏感设置之前，最佳做法是先备份网站和数据库文件。 修改文件权限时很容易出错，备份相当于安全网。如果不小心把网站弄坏了，直接回滚即可。
永远不要使用 777
将任何文件或目录的权限设为 777，相当于给全世界的人自由访问你网站的权限。 这意味着任何普通访问者都能查看、编辑和删除文件，上传潜在恶意程序并执行脚本。显然这是个糟糕的主意。 虽然看起来只是给一个文件完全权限没什么大不了，但老练的黑客可以轻易利用这一点执行恶意脚本或提升权限，进一步渗透到服务器深处。所以千万不要这样做。
如何修改 WordPress 文件权限
了解了文件权限的最佳实践后，让我们学习如何在不同的服务器环境中修改它们。
通过 cPanel 或面板
大多数主机提供商都提供 cPanel 或自定义面板访问。请查阅主机提供商的文档，但在 cPanel 中通常可以进入文件管理器，然后右键点击任何文件夹或文件，点击”更改权限”。
通过 FTP/SFTP
也可以使用 FTP/SFTP 访问来修改权限。首先安装 FTP 客户端（如 FileZilla）并登录服务器。右键点击任何文件或文件夹，选择”文件权限”…… 然后输入数值，或勾选要设置的选项即可。
通过 SSH/命令行
这一步需要使用命令行访问工具。通常由 Web 主机提供。使用 ，例如： 然后使用 chmod 命令修改该文件夹中文件或子目录的权限： 也可以一次性递归设置整个目录的权限，但操作时务必小心：
cd public_html/example_folderchmod 755 example.htmlchmod -R 755 example_subfoldercd 命令导航到要修改的文件或子目录所在位置chmod 命令修改该文件夹中文件或子目录的权限： `chmod 755 example.html使用插件
某些安全插件允许你在面板中轻松切换文件权限。例如 All-In-One Security (AIOS)。使用它可以修改文件权限、识别不安全的权限设置，并一键修复问题。
常见的文件权限错误
最后，让我们看看 WordPress 中一些常见的文件权限错误及其成因。 延伸阅读：
常见文件权限错误及解决方法
使用WordPress时，文件权限问题会导致多种错误提示，以下是几种常见情况： 403 Forbidden 错误 访问文件时如果缺少读取权限，会看到此错误。例如，访问未发布的文章或页面时，访客会遇到此问题。管理员遇到此错误时需检查权限设置。 必需文件权限缺失 某些插件可能会抛出此错误。这通常是因为网站文件不属于 nginx 或 www-data 用户所致。 文件不可写 在 WordPress 编辑器中保存修改时，如果缺少对某些文件的写权限，会看到此提示。 Permission denied，错误代码：3 尝试修改或上传文件时会出现此错误。常见原因包括：网站文件由 root 而非 nginx 或 www-data 拥有、需要 root 访问权限，或单纯缺少读写权限。 安装失败：无法创建目录 安装或更新主题和插件时出现此提示，说明 WordPress 没有目标目录的写权限。
修改权限需谨慎
文件权限是网站安全的重要组成部分，修改时务必谨慎。一个小小的调整可能导致网站崩溃，或让黑客更容易入侵。 了解文件权限的工作原理很有必要，尤其是当错误开始出现时。现在你已经知道该如何操作——以及什么不该做。 如果成功解决了 WordPress 文件权限问题，欢迎在评论区分享经验，帮助其他遇到相同问题的用户。
