umask для пользователя www-data, работающего с PHP на Ubuntu

Настройка нового веб-сервера на Ubuntu 14.04 и попытка разобраться с разрешениями файлов для файлов, созданных PHP.

По умолчанию все директории и файлы в /var/www принадлежат группе www-admin. Разрешения для директорий — rwxrwsr-x, а для файлов — rw-rw-r--.

Мы затем установили группу для ограниченного числа директорий на www-data — это необходимо для того, чтобы PHP (через Apache) мог записывать файлы логов и кэша в этом месте.

Однако я не могу заставить PHP подчиняться umask 0002, и, следовательно, файлы, созданные PHP, доступны для записи только пользователю www-data. Это проблема, поскольку мы используем непрерывную интеграцию и некоторые другие процессы очистки.

На данный момент я:

• Установил umask на 0002 в /etc/pam.d/common-session
• Установил umask на 0002 в /etc/pam.d/common-session-noninteractive
• Установил umask на 0002 в /etc/profile
• Установил umask на 0002 в /etc/apache2/envvars
• Установил umask на 0002 в /etc/login.defs
• Установил umask на 0002 для www-data в /etc/passwd, используя sudo chfn -o "umask=002" имя_даэемона

И я все еще застрял.

Я остановил/запустил службу и даже перезагрузил компьютер — без успеха.

“umask 002” в /etc/apache2/envvars должно работать.

Обратите внимание, что Apache должен быть перезапущен командой “service apache2 stop; service apache2 start” для применения изменений, а не “service apache2 restart”!

Смотрите здесь, если вам нужен более детализированный пример: https://serverfault.com/a/384922/228027

Если вы запускаете несколько сайтов, вы можете установить права на группу по умолчанию, используя списки управления доступом (ACL) для каждой директории следующим образом:

Установите флаг setid, чтобы заставить все новые файлы наследовать группу от директории:

root@sh1:/srv/www/php/fastwarren.ca# chmod g+s wordpress

Сделайте новые файлы имеющими права rw для группы, например, чтобы www-data мог записывать в файлы, переданные по SFTP пользователем загрузки:

root@sh1:/srv/www/php/fastwarren.ca# setfacl --default --modify group:rwx wordpress 

Подтвердите, что ACL выглядит так:

root@sh1:/srv/www/php/fastwarren.ca# getfacl wordpress
# file: wordpress
# owner: carissacosgrove
# group: www-data
# flags: -s-
user::rwx
group::rwx
other::r-x
default:user::rwx
default:group::rwx
default:other::r-x

Создайте файл, чтобы подтвердить, что это сработало:

root@sh1:/srv/www/php/fastwarren.ca# ll test
-rw-rw-r-- 1 root www-data 0 Feb 17 01:09 test

Проблема в том, что файлы создаются PHP-FPM. Это родительский процесс — не apache2. Единственный способ, которым я мог решить это, — добавить umask в /etc/init/php7.1-fpm.conf. Затем перезапустите PHP-FPM.

Связанная тема: Настройка umask для Nginx/php-fpm.

Это тоже не сработало для меня, пока я не понял следующее: плагин драйвера PDO SQLite для WordPress создаст файл базы данных только с разрешением на чтение для группы.

Проверьте свою рассудительность, используя скрипт создания отсюда: Как установить umask по умолчанию в Apache на Debian?.

Для Ubuntu, я думаю, что лучший / более простой способ добавить это — создать файл по адресу /etc/systemd/system/php8.2-fpm.service.d/umask.conf, это значит, что нам просто нужно скопировать файл, а не изменять системные.

[Service]
UMask=0002