Asignación de permisos para archivos y directorios en aplicaciones escritas en PHP

Categoría: PHP

Publicado el Jueves 1 de Mayo, 2008, a las 00:50:12.

Última modificación hecha el Miércoles 31 de Diciembre, 1969, a las 17:00:00.

Leído 406 veces.

Permisos

Existen muchos, muchísimos manuales y artículos en Internet que tratan con más profundidad, y quizá de mejor manera, acerca de los permisos en sistemas basados en Unix. Aún así daré una breve explicación acerca de los permisos.

Para los sistemas operativos basados en Unix existe una serie de permisos que se aplican sobre archivos y carpetas y que definen quién puede hacer qué con los archivos y carpetas. Estos permisos son asignados a tres tipos de usuario: el usuario propietario del archivo/carpeta, todos los usuarios pertenecientes a un grupo de usuarios, y todos los demás usuarios.

Generalmente el usuario propietario (u owner) es quien ha creado el archivo o carpeta. El grupo de usuarios (o group) son usuarios que comparten un conjunto idéntico de permisos. El resto de usuarios, que no son el propietario ni pertenecen al grupo que tiene permisos sobre el archivo/carpeta, son denominados en su conjunto como otros (others) o global (global).

Generalmente el tipo de usuario grupo tiene poca relevancia para el entorno web, por lo que se le suele asignar los mismos permisos que el tipo de usuario otros.

En los servidores de hosting, generalmente el dueño de un archivo o carpeta es asignado por medio de la cuenta con la que se sube el archivo vía FTP.

A cada tipo de usuario (propietario, grupo y otros) se le puede asignar tres permisos: permiso de lectura (read), escritura (write) y ejecución (execution). Estos permisos pueden ser otorgados o denegados. En lo que nos concierne al ambiente web, la forma de representación de estos permisos es la numérica. Existe la representación de permisos por caracteres pero no se tratará aquí puesto que prácticamente no es usada para el ambiente web.

A cada permiso le corresponde un valor numérico.

Lectura = 4

Escritura = 2

Ejecución = 1

Los permisos de un usuario equivalen a la suma de los valores numéricos de los permisos otorgados, obteniendo un valor numérico único para cada combinación de permisos. Así, un usuario que sólo tenga permiso de lectura le corresponderá un valor de 4, mientras que un usuario con permisos de lectura y escritura tendrá un 6 (4 de lectura + 2 de escritura):

0  Ningún permiso
1  Ejecución
2  Escritura
3  Escritura y ejecución
4  Lectura
5  Lectura y ejecución
6  Lectura y escritura
7  Lectura, escritura y ejecución

La descripción de los permisos para los usuarios se define de forma sencilla y práctica con tres dígitos del 0 al 7, cada dígito con el significado que acabo de indicar, definiendo con el primer dígito los permisos para el propietario, con el segundo los del grupo y con el tercer dígito los permisos para otros.

Por ejemplo: un archivo con permisos 644 define permisos de lectura y escritura para el propietario y permiso de lectura para el grupo y otros. Un archivo con permisos 777 define permisos de lectura, escritura y ejecución para todos los usuarios.

PHP como módulo de Apache o como CGI

Tras ésta, un tanto sosa, explicación, en lo que respecta a PHP y cómo deben estar establecidos los permisos de archivos y carpetas para que los scripts funcionen, primero que nada hay que considerar la forma en que PHP está instalado en el servidor. El intérprete de PHP puede estar instalado como módulo de Apache o como CGI con suExec (PHPsuExec). 

¿Qué importancia tiene la forma en que está instalado PHP y qué tiene que ver con los permisos? Pues bien, cuando se ejecuta un proceso en los sistemas *nix, el proceso corre bajo los permisos que tiene el usuario que ejecutó el proceso.

Cuando PHP está instalado como módulo de Apache, Apache de cierta forma es quien gestiona a PHP, y por lo tanto los scripts PHP son ejecutados bajo el usuario con el que esté corriendo Apache, el cual generalmente es “nobody” (también puede ser “apache”, “wwwuser” o “httpd”). Dado que los archivos y carpetas de tus aplicaciones PHP probablemente tengan como propietario tu usuario, que para efectos de estos ejemplos será “arwing”, y dado que Apache corre como “nobody”, entonces surge un problema puesto que Apache no puede aplicar ciertas operaciones sobre los archivos dado que no es el propietario y probablemente tampoco pertenezca al grupo de usuarios asignado al archivo. Apache, y por lo tanto PHP, sólo podrá realizar las acciones correspondientes a los permisos asignados a otros (others), el tercer dígito de los permisos numéricos. 

Es posible que puedas ubicar rápidamente este escenario porque quizás hayas tenido que establecer los permisos de algún archivo o carpeta a 777 para que una aplicación PHP te funcionara correctamente. Si tu archivo tuviera permisos 644 y tuviera asignado como propietario a “arwing”, PHP no podría escribir dado que Apache corre como el usuario “nobody” y los permisos para este usuario vendrían siendo los mismos que para todos los demás (644), es decir, sólo lectura. Si quisieras que PHP pudiera escribir sobre tu archivo, tendrías que cambiar los permisos a 666.

El problema radica en que cualquier otro usuario existente en el sistema tendrá los mismos permisos que tenga Apache y PHP, los cuales pueden ser más permisos de los que desearíamos otorgar a los demás, convirtiéndose en un potencial agujero de seguridad. ¡Y ya todos sabemos que la seguridad es importante! 

Una forma de evitar estos problemas cuando PHP es módulo de Apache, es cambiar el propietario de los archivos y carpetas al usuario sobre el que corre Apache. Aunque esto no siempre es posible si no tenemos acceso al servidor para ejecutar los comandos o si el proveedor de hosting no quiere cambiar los permisos cuando se lo solicitamos (a pesar de que es sencillo).

Por otro lado, cuando PHP está instalado como CGI con suExec se evitan los problemas del usuario de Apache y el propietario de los archivos puesto que con PHPsuExec los scripts PHP se ejecutan con tu usuario. De esta forma puedes establecer permisos a archivos y carpetas de forma más lógica, ahora sí pudiendo considerarte a ti mismo como propietario. 

Una característica de PHPsuExec es que los permisos máximos que se pueden asignar a carpetas y archivos es 755, permisos más que suficientes para que cualquier aplicación PHP funcione correctamente y sin problemas (por permisos) puesto que ahora los scripts se ejecutan con el nombre de tu usuario. Asignar permisos mayores a 755 dará un error interno, por ejemplo: asignar los permisos a 666 en un archivo PHP dará error, mientras que el mismo archivo no daría error con permisos 655. Por defecto, al subir un archivo por FTP se le asignan permisos 644, para las carpetas es 755.

Al final de cuentas, de una forma u otra como esté instalado PHP, asignas los mismos permisos sólo que a un diferente tipo de usuario en tus archivos y carpetas. 

Para PHP como módulo de Apache y cuando el propietario de los archivos es diferente del usuario sobre el que corre Apache, los permisos necesarios para que las aplicaciones PHP funcionen son aplicados sobre el tipo de usuario otros (others). Por ejemplo, para un permiso de lectura y escritura tendríamos algo así: 766, donde el importante para el archivo es el tercer dígito, el correspondiente a otros.

Para PHP como módulo de Apache con el propietario de los archivos y carpetas asignado al usuario de Apache, o para PHP como CGI con suExec, los permisos necesarios para el funcionamiento de las aplicaciones PHP son aplicados sobre el tipo de usuario propietario (owner). Por ejemplo, para un permiso de lectura y escritura tendríamos algo así: 644, donde el importante para el archivo es el primer dígito, el correspondiente al propietario. 

Permisos para otros archivos

Dado que los archivos que no tienen nada que ver con PHP (archivos html, jpeg, gif, etc.) nunca pasar por el intérprete de PHP, no aplican los permisos de propietario. Los sirve únicamente Apache y como ya sabemos, Apache corre como “nobody” y mis archivos html's y jpeg's tienen asignado como propietario a “arwing”. De aquí que Apache sólo tendrá los permisos otorgados a others. Generalmente con permisos de lectura basta para que estos archivos sean servidos por Apache y visualizados en un navegador. De vez en cuando puede que necesites asignar el permiso de escritura para algún archivo, mientras que el permiso de ejecución no es realmente necesario aquí.

Ahora, para los permisos de las carpetas en Apache (obviamente las carpetas también son servidas por Apache y el intérprete PHP no tiene nada que ver aquí), te recuerdo que al asignar únicamente el permiso de ejecución a una carpeta logras que el contenido de la carpeta no sea listado (en caso de no tener una página de inicio por defecto, como index.html) pero permite que los archivos que contenga la carpeta puedan sean accedidos. 

Asignar los permisos de lectura y ejecución para others en una carpeta, permite tanto el acceso a los archivos como a la visualización del índice de archivos de la carpeta generado por Apache cuando no existe una página de inicio por defecto.

Nota Final

Esto es todo por ahora en cuanto a la asignación de permisos de archivos y carpetas para aplicaciones en PHP. Recuerda que los permisos incluyen otro aspecto en lo que a seguridad y funcionalidad se refiere para nuestro sitio, misma que es proporcionada por el propio sistema operativo.

Comentarios