在Linux中，权限（755/644）必须配合正确的所有权（User:Group）才能生效。换言之，PHP进程（即WordPress）必须是文件/目录的“所有者”，才能在755/644权限下进行写入（上传图片、升级插件、生成缓存）。
确保位于WordPress根目录（通常为/var/www/html或public_html）下执行。
对当前目录下所有文件的所有者和组，行统一之设定。兹以33 (www-data) 为例（后文同此）。
chown -R 33:33 .
按：使用+模式代替\;可显著提高执行效率。
find . -type d -exec chmod 755 {} +
find . -type f -exec chmod 644 {} +
针对敏感文件设置更严格的只读权限。
# wp-config.php 包含数据库密码，生产环境应设为 440 或 400
# 前提：文件所有者必须是 PHP 运行用户，否则设为 400 后 PHP 无法读取将导致网站无法访问
chmod 440 wp-config.php
# .htaccess 控制伪静态，通常设为 644，若不频繁修改可设为 604
chmod 644 .htaccess
按，任何要求设置777权限的插件通常都存在设计缺陷与安全隐患。
但在应用上述“严格权限”时，以下插件模块可能会遇到权限阻碍：
该插件需要向wp-config.php写入开启缓存的定义代码，并修改.htaccess。当wp-config.php被设置为440时，插件后台更新设置会报错或白屏。是故，作为运维策略：
chmod 644 wp-config.phpchmod 440 wp-config.php按：日常运行中，插件生成的静态文件在wp-content/cache，该目录保持755即可正常读写。
插件直接写入wp-content/languages目录生成.po/.mo文件。
只要第一步的chown -R 33:33 .执行正确，标准755目录权限即可满足需求。如果无法保存翻译，通常是所有者变成了别的（例如：在www-data才OK的情况下，所有者却变为了root）。
wp-content/uploads。ls -ld wp-content/uploads检查权限是否为drwxr-xr-x (755)且所有者为www-data。另外，像WP File Manager这样的插件，虽然对于共享主机用户来说非常地便利，但其风险其实极高。如果该插件存在0-day漏洞，攻击者可绕过WordPress权限体系，直接以www-data身份操作服务器文件（上传Webshell），此时440或644设置将失效。对于自托管用户来说，如已经拥有SSH命令行权限，该插件会增加不必要的攻击面。不如卸载。
错误：440导致某些环境白屏
如果服务器使用的不是PHP-FPM (User: www-data) 而是以CGI模式运行（User: 系统账户），将wp-config.php设为440且所有者为www-data（或33）可能导致文件无法被读取，引发HTTP 500错误。
插件更新失败 / 无法创建目录
ls -ld wp-content/plugins，确保输出包含www-data www-data（或33 33）。如果显示的是root root，插件将无法更新。Git/开发环境
如使用Git管理代码，.git目录的权限不要设置为755/644，且不应允许Web访问。宜在Nginx/Apache配置中显式禁止访问.git目录。
确认在WordPress根目录后，按顺序执行：
# 1. 修正所有权 (兹以www-data为例，即id 33)
chown -R 33:33 .
# 2. 修正目录权限
find . -type d -exec chmod 755 {} +
# 3. 修正文件权限
find . -type f -exec chmod 644 {} +
# 4. 加固配置文件 (注意：配置 Super Cache 插件时可能需临时改为 640/644)
chmod 440 wp-config.php
# 5. 确保 .htaccess 对 WP 可写但安全
chmod 644 .htaccess
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。