Permissões do Apache Linux

Question

• o wordpress é executado como o apache user
• apache está no grupo developers
• todas as pastas são 775
• todos os arquivos são 664
• todas as pastas e arquivos estão no grupo developers

Por que o apache precisa possuir os arquivos para que o Wordpress instale / atualize os plugins?

    

Answer 1

No início, root inicia o servidor Apache. O Apache abre os root privilégios na inicialização e terá privilégios limitados do usuário apache .

Assim, quando você faz upload de arquivos, o Apache não pode escrever na pasta de plugins do WordPress, a instalação do plug-in falha. Você pode resolver esse problema de duas maneiras.

1. Conceda acesso de gravação à pasta de plug-ins a um grupo e torne a apache membro do usuário deste grupo.
2. Ou faça a pasta pertencente a apache user

Cuidado com a configuração umask . Você precisa configurá-lo sempre que as variáveis de ambiente do apache forem configuradas.

"umask 002"

O umask terá um impacto nas permissões de novos arquivos e diretórios criados durante a instalação de plug-ins.

    

Answer 2

Why does apache need to own the files in order for Wordpress to install/update plugins?

Porque o seu modelo de permissões é uma droga.

Decidir quais permissões colocar em quais arquivos é tão importante como parte da implantação de um site como escrever código e configurar seu servidor da Web. Claramente, a instalação aqui foi projetada de forma a permitir que as atualizações do código sejam aplicadas via web. Existem 2 soluções comuns para o problema - tornando os arquivos e diretórios graváveis por todos e tornando os arquivos / diretórios pertencentes ao seu servidor web uid. Ambos são muito ruins para segurança.

É inevitável quando se trabalha com muitas aplicações que você precisará de algumas áreas designadas para as quais o servidor da web pode escrever - estas devem estar fora da raiz do documento e toda a execução de código banida dentro desses diretórios.

Com as permissões que você tem, o Apache pode ler todos os arquivos / diretórios através de qualquer usuário / grupo / outro e escrever como usuário ou grupo. Portanto, há alguma redundância aqui, o Apache não precisa dos arquivos para escrever para eles - mas esse não é o problema. Que o Apache possa gravar em qualquer arquivo de código (ou configuração) é um problema.

A solução certa para o problema certo precisa de algum esforço.

    

Answer 3

Porque quando você está carregando e atualizando os arquivos, o Apache está rodando sob o usuário 'apache' e ele precisa ter privilégios para alterar arquivos para isso.

O mais provável é que a maneira mais fácil seja tornar o apache apenas o proprietário do diretório de plug-ins, não todos os diretórios raiz da web por motivos de segurança.

Você pode dar uma olhada aqui mais recomendações sobre permissões de arquivos.