根本原因是Web服务器进程用户（如www-data）对日志目录缺少执行权限或文件缺少写权限；需用chown/chmod正确授权，检查SELinux及systemd沙箱限制，并在PHP中用is_writable()等函数预检权限。
PHP 执行 unlink() 或 rrmdir() 清理日志时提示 “Permission denied”
根本原因不是 PHP 本身没权限，而是 Web 服务器进程（如 www-data、nginx 或 apache 用户）没有对日志目录或文件的写/执行权限。PHP 脚本以该用户身份运行，unlink() 失败时错误信息通常是：Warning: unlink(/var/log/myapp/app.log): Permission denied。
- 先确认当前 Web 进程用户：
ps aux | grep -E '(apache|httpd|nginx|php-fpm)'，看 USER 列（常见为www-data、nginx、apache） - 检查日志路径权限：
ls -ld /var/log/myapp和ls -l /var/log/myapp/*.log，重点看 owner/group 是否匹配进程用户，且目录有x（执行）权限（否则无法进入）、文件有w（写）权限 - 不推荐直接
chmod 777—— 安全风险高，且可能被 SELinux 或 systemd 的 PrivateTmp 干扰
用 chown + chmod 正确授权日志目录
目标是让 Web 进程用户能创建、删除、遍历日志目录，同时避免开放给其他用户。假设日志存于 /var/log/myapp，Web 进程用户为 www-data：
- 设置属主和属组：
sudo chown -R www-data:www-data /var/log/myapp - 赋予目录可读、可写、可执行（必要）：
sudo chmod 750 /var/log/myapp（注意：750 比 755 更安全，排除 others 权限） - 确保新生成的日志文件继承组权限：对目录启用 setgid：
sudo chmod g+s /var/log/myapp，这样 PHPfopen(..., 'a')创建的新文件会自动属于www-data组 - 如果日志由 cron 或 CLI PHP 脚本写入，需确保该脚本也以相同用户运行，或加入同一组并设
umask 002
PHP 中清理日志前加权限校验更可靠
硬编码 unlink() 很容易静默失败。应在删除前主动判断是否可操作，尤其在跨环境部署时：
- 用
is_writable()检查文件或父目录：if (!is_writable($logPath)) { error_log("Cannot delete $logPath: not writable"); } - 对目录批量清理时，优先用
is_dir()+is_executable()确保能遍历：if (!is_executable(dirname($logPath))) { /* 无法进入目录 */ } - 避免用
system('rm -f ...')—— shell 执行权限更难控制，且可能被禁用（disable_functions包含system） - 若日志量大，
glob('/var/log/myapp/*.log')后逐个unlink()比exec('find ... -delete')更可控、更易捕获单个失败项
SELinux 或 systemd 服务配置导致的隐性权限拦截
即使文件系统权限全开，仍报 Permission denied，大概率是 SELinux 上下文或 systemd 的沙箱限制在起作用：
立即学习“PHP免费学习笔记（深入）”；
- 检查 SELinux 状态：
sestatus；若为 enforcing，查看拒绝日志：sudo ausearch -m avc -ts recent | grep httpd；临时放行测试：sudo setsebool -P httpd_read_user_content 1（或更精准地用audit2allow生成策略） - 对于 systemd 管理的 php-fpm 或 nginx，检查
ProtectSystem=、ProtectHome=、ReadOnlyPaths=等选项是否误将/var/log设为只读（systemctl show php-fpm | grep Protect） - 某些发行版（如 RHEL/CentOS 8+）默认启用
PrivateTmp=yes，会导致 PHP 看不到宿主机的/var/log—— 改为PrivateTmp=no并重启服务
实际排障时，最容易被忽略的是：日志目录的父路径（比如 /var/log）本身没有对 Web 用户的 x 权限，或者 SELinux 的 avc denials 没被检查。别急着改代码，先看 ls -ld /var/log /var/log/myapp 和 ausearch 输出。
