解决 Nginx 访问 PHP Imagick 生成的 WebP 图片提示 Permission Denied (13) 错误

## 1. 问题现象 在日常的 Web 开发与运维中，我们可能会遇到 Nginx 无法访问特定图片并返回 `403 Forbidden` 的情况。查看 Nginx 错误日志，通常会看到如下报错： ```text [error] 111#111: *26717 open() "/var/www/wiki.lib00.com/public_resources/pics/article_cover.webp" failed (13: Permission denied), client: 180.127.x.x, server: wiki.lib00.com, request: "GET /pics/article_cover.webp HTTP/2.0" ``` 经过排查发现，上级目录的权限是正常的 `0777` 或 `0755`，且通过 PHP 原生方法直接上传的文件具有正常的 `0644` 权限（可读）。但是，**通过 PHP Imagick 扩展处理并保存的 WebP 图片，其权限却变成了 `0600`**。由于 `0600` 仅允许文件所有者读写，Nginx 的 worker 进程（通常是 `www-data` 或 `nginx` 用户）无法读取该文件，从而引发了 `Permission denied (13)` 错误。 --- ## 2. 原因分析 这是一个非常典型的权限掩码（Umask）问题。 `Imagick::writeImage` 在底层调用的是 ImageMagick 的 C 库。在特定的系统环境或 ImageMagick 版本中，它在创建新文件时，默认的文件掩码处理方式比 PHP 自带的 `move_uploaded_file` 更严格。 PHP 的 `move_uploaded_file` 会尝试遵循 Web 服务器的默认权限设置，而 `Imagick` 生成文件是一个“新建”过程，它完全受当前 PHP 进程的 `umask` 限制，导致最终生成的文件丢失了组用户和其他用户的读取权限。 --- ## 3. 解决方案 为了彻底解决 `wiki.lib00` 项目中的这个权限问题，我们提供以下三种解决方案： ### 方案一：手动设置权限（最推荐） 在 PHP 代码中，最稳妥且兼容性最好的办法是在 `writeImage` 之后，显式调用 `chmod` 函数修改权限。这样可以确保无论服务器环境如何变化，文件权限始终正确。 ```php $image = new Imagick('source.jpg'); // ... 处理图片逻辑 ... $image->setImageFormat('webp'); $filePath = '/var/www/wiki.lib00.com/public_resources/pics/output.webp'; $image->writeImage($filePath); // 显式修改权限为 0644，允许 Nginx 读取 chmod($filePath, 0644); $image->clear(); $image->destroy(); ``` ### 方案二：在脚本中动态修改 Umask 如果你不想在代码中到处调用 `chmod`，可以在处理图片的脚本开始处修改进程的 `umask`。`umask(0022)` 会确保新建文件拥有 `0644` 权限。 ```php // 在处理图片之前设置 umask $oldUmask = umask(0022); // 执行 Imagick 保存操作 $image->writeImage($filePath); // 恢复原始 umask，避免影响其他操作 umask($oldUmask); ``` ### 方案三：修改 PHP-FPM 配置（系统级修复） 如果你的 PHP 是通过 PHP-FPM 运行的，可以在 FPM 的池配置文件中全局设置默认的 umask。这是一种一劳永逸的方法。 1. 找到 PHP-FPM 的池配置文件（通常在 `/etc/php/x.x/fpm/pool.d/www.conf`）。 2. 查找或添加以下配置： ```ini ; Set the umask for the pool umask = 0022 ``` 3. 重启 PHP-FPM 服务：`systemctl restart php-fpm`。 --- ## 4. 补充：修复 Nginx 目录索引被禁止错误 在排查上述问题时，有时还会伴随出现 `directory index of ... is forbidden` 错误。这表示当访问目录（如 `wiki.lib00.com/`）时，Nginx 找不到默认的索引文件（如 `index.php`），且禁用了目录列出功能。 **修复方法：** 在 Nginx 的 `location /` 块中，确保配置了正确的 `index` 指令： ```nginx location / { root /var/www/wiki.lib00.com/public_resources/; index index.php index.html index.htm; } ```