Problemas de permissões em servidor Linux
No mundo PHP, existem várias formas de se "rodar" um site, em geral a maioria delas é usando um servidor web conhecido como Apache ou Nginx, ao manipular arquivos, as vezes ocorrem problemas de permissões que não são muito claras, vou tentar desmitificar algumas delas e mostrar o que isso implica em questão de segurança.
Tipo de servidor
É comum ver o uso de hospedagens compartilhadas para sistes/sistemas em PHP, devemos nos atentar pois esse tipo de hospedagem geralmente é bem vulnerável se o usuário não tomar as devidas precauções.
Existem também os VPS/Dedicados em que uma instiancia Linux roda isolada, dando assim maior nível de segurança ao sistema/site.
1) Conceito básico de permissões:
No linux, existe um sistema de permissões de arquivos e pastas desenhado para entregar um ambiente seguro compartilhado por mais de um usuário, a grosso modo, no modo de representação numérica, são 3 bits
que indicam por quem o arquivo pode ser acessado, veja um exemplo:
765 arquivo1.txt
644 arquivo2.txt
o primeiro dígito, nos mostra qual a permissão do dono, o segundo, qual a permissão do grupo e a terceira, qual a permissão geral (demais usuários).
No primeiro exemplo, temos:
7 -> Dono tem permissão 7 (ler, gravar e executar)
6 -> Grupo tem permissão 6 (ler, gravar) porem não pode executar como o dono
5 -> Outros usuários tem permissão 5 (ler e executar) porem não podem alterar o conteúdo.
Essa foi uma explicação superficial e pode conter erros, entenda melhor lendo esse link.
2) Funcionamento de um servidor web no Linux
O servidor web, não roda como root
ou seja, não tem permissões globais sobre o sistema, em uma instalação padrão, existe um usuário dedicado, geralmente chamado www-data
e um grupo dedicado, com o mesmo nome.
Quando uma página é solicitada, é esse usuário que lê, interpreta e roda qualquer comando que o script solicitar.
Se a pasta/arquivos do site / sistema pertencem ao usuário www-data
então a permissão 700 é suficiente para ler, gravar e executar, visto que o dono tem total acesso (7) e os demais usuários não tem acesso algum.
Se o usuário dono da pasta/arquivos do projeto não é o mesmo que o usuário em que o servidor web roda, temos que adicionar permissão nos segundo e terceiro "bit"
digamos que existe um usuário chamado foo
, e o mesmo pertence ao grupo www-data
, a pasta do site percente a foo, com grupo www-data
então teríamos que dar permissão 770, para que todos os membros do grupo tenham acesso total ao sistema/arquivos.
Por quê o 777 funciona, afinal?
Dando chmod 777 você expôe seus arquivos a qualquer usuário do
sistema, então em um hospedagem compartilhada, qualquer outro usuário
será capas de ler seus arquivos, modificar o conteúdo e ainda fazer um
'include' via script.
Conclusões
- Se você usa hospedagem compartilhada, 777 é um erro que você jamais pode comenter.
- Se você usa um servidor dedicado / VPS, você deve configurar os seus arquivos e pastas como sendo propriedade do mesmo usuário em que o servidor web roda, no debian / ubuntu esse usuário é o www-data, mas o mesmo pode ser personalizado / variar em outras distribuições
Para trocar o dono de uma pasta e todos os arquivos / pastas internas (recursivamente):
chown -R usuario:grupo minha_pasta_www
No caso padrão,
chown -R www-data:www-data minha_pasta_www
Resumindo, 777 nunca!