nginx和php fpm套接字所有者

Question

在我的系统更新之后，我在Nginx上运行的PHP应用程序遇到了一个坏的网关错误。

1连接（）到unix：/var/run/php-fcgi-vhostname-php-fcgi-0.sock失败（13：权限被拒绝），同时连接到上游，客户端：xx.xxx.xx.xx，服务器：localhost，请求："GET/HTTP/1.1"，上游："快速cgi：//unix：/var/运行/php-fcgi-vhostname-php-fcgi-0.sock："，主机："xx.xx.xx.xx"

这个问题是由使用的php-fpm套接字的错误权限引起的，事实上我看到/var/run/php-fcgi.sock由root拥有：root但nginx和php-fpm用作用户www.-data。

我已经在/etc/php-fpm. d/www.conf编辑了php-fpm配置：

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

但这并不能解决问题，当我重启nginx和php-fpm时，套接字是用root： root作为用户/组创建的。

我发现修复它的唯一方法是手动将套接字的所有者更改为www.-data： www.-data。但这不是一个真正的解决方案，因为每次我重新启动我的服务，我必须再次应用它。

我如何解决这个问题？我在CentOS 6.5上

我使用Ajenti-V来配置vhost和PHP-FPM。它为每个网站/vhost创建一个新的套接字，并在/etc/php fpm中设置它们。形态

它们有这样的结构：

[vhostname-php-fcgi-0]
user = www-data
group = www-data

listen = /var/run/php-fcgi-vhostname-php-fcgi-0.sock

pm = dynamic
pm.max_children = 5
pm.start_servers = 1
pm.min_spare_servers = 1
pm.max_spare_servers = 5

如果我向每个条目添加以下字符串：

listen.owner = www-data
listen.group = www-data
listen.mode = 0666

一切正常。

看来www.conf没有包括在内（可能是吧？）。这是我的php fpm。形态：

[global]
pid = /var/run/php-fpm/php-fpm.pid
error_log = /var/log/php5-fpm.log


[global-pool]
user = www-data
group = www-data
listen = /var/run/php-fcgi.sock

pm = dynamic
pm.start_servers = 1
pm.max_children = 5
pm.min_spare_servers = 1
pm.max_spare_servers = 5


[vhostname-php-fcgi-0]
user = www-data
group = www-data

listen = /var/run/php-fcgi-vhostname-php-fcgi-0.sock

pm = dynamic
pm.max_children = 5
pm.start_servers = 1
pm.min_spare_servers = 1
pm.max_spare_servers = 5

Answer 1

NGINX作为用户NGINX运行，php5-fpm作为用户www-data运行。只需将nginx添加到组www-data，问题就解决了，nginx可以访问/var/run/php5-fpm。sock。与Ubuntu 14.04、nginx 1.7配合使用效果很好。10，PHP5.5。9-1本图4。6（fpm fcgi）：

$ sudo usermod -aG www-data nginx

Answer 2

在这里加上收听。应注释acl_用户指令，否则，它将覆盖侦听。所有者和倾听。组值：

; Set permissions for unix socket, if one is used. In Linux, read/write
; permissions must be set in order to allow connections from a web server.
; Default Values: user and group are set as the running user
;                 mode is set to 0660
listen.owner = www-data
listen.group = www-data
listen.mode = 0660

; When POSIX Access Control Lists are supported you can set them using
; these options, value is a comma separated list of user/group names.
; When set, listen.owner and listen.group are ignored
;listen.acl_users = apache,nginx

Answer 3

/etc/php fpm。conf是FPM将读取的配置文件（在CentOS上）。如果希望FPM也读取其他配置文件，则需要告诉它。

您可以通过在/etc/php-fpm.conf的底部放置行包括=/etc/php-fpm. d/*. conf来做到这一点。然后，它将读取目录/etc/php-fpm. d（以. conf结尾）中的所有内容。

然后将全局指令和包含行放在/etc/php-fpm.conf中。这可能看起来像这样：

[global]

pid = /var/run/php-fpm/php-fpm.pid
error_log = /var/log/php5-fpm.log

include=/etc/php-fpm.d/*.conf

并且在/etc/php fpm中有一个单独的文件。d每个池的。

示例/etc/php fpm。d全球。形态：

[global-pool]

user = www-data
group = www-data

listen = /var/run/php-fcgi.sock

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

pm = dynamic
pm.start_servers = 1
pm.max_children = 5
pm.min_spare_servers = 1
pm.max_spare_servers = 5

示例/etc/php-fpm. d/vhostname-0.conf：

[vhostname-php-fcgi-0]

user = www-data
group = www-data

listen = /var/run/php-fcgi-vhostname-php-fcgi-0.sock

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

pm = dynamic
pm.max_children = 5
pm.start_servers = 1
pm.min_spare_servers = 1
pm.max_spare_servers = 5

>

指令user和group控制该池的FPM进程将作为其运行的用户/组。它们不指定套接字的用户/组。

指令听。所有者和倾听。组控制套接字用于该池的用户/组。

池指令（如听.*）将只适用于池。因此，您不能在全局部分中使用它们，您必须为每个池指定它们。

当监听时，权限0660非常好。所有者和倾听。组与Web服务器相同。您甚至可以使用0600，但有人可能会说，任何可以在与Web服务器相同的组下操作的用户也可以使用套接字，因此我将使用0660。