Apache - Chỉ cấp quyền truy cập vào thư mục /var/log/ bên ngoài thư mục gốc của tài liệu? (Dựa trên Centos)

Máy chủ Web của tôi đang chạy trên Apache và tôi đã hạn chế người dùng Apache không cho phép bất kỳ thứ gì bên ngoài Gốc tài liệu trang web, Tuy nhiên, tôi cần ghi một tệp nhật ký (Nhật ký xác thực người dùng) cần ghi vào một thư mục của "/var/log/ứng dụng"

Làm cách nào để đạt được nhiệm vụ này trong Centos7? Tôi có nên sử dụng một liên kết tượng trưng? nếu vậy Điều đó có thể đủ an toàn không? bởi vì tệp nhật ký này sẽ chứa dữ liệu rất nhạy cảm về người dùng, vì vậy tôi không muốn cấp toàn bộ quyền truy cập cho người dùng Apache (chỉ có quyền ghi) VÀ tôi không muốn giữ nó trong một thư mục trong Tài liệu Gốc là tốt?

Giải pháp tốt nhất cho loại kịch bản này là gì?

Tạo ra /var/log/ứng dụng/.

Sau đó sửa đổi các quyền để người dùng Apache chỉ có thể ghi vào thư mục:

chown -R apache: apache /var/log/app/

chmod -R 330 /var/log/app/

Chỉ với cấu hình này nguồn gốc, apache và sudo người dùng đặc quyền có thể viết vào thư mục.

Và chỉ nguồn gốc và sudo người dùng đặc quyền và đọc Các bản ghi.

Bằng cách này, nếu dịch vụ Apache bị xâm phạm, kẻ tấn công sẽ không thể đọc nhật ký nhạy cảm mà không thực hiện một số kiểu tấn công leo thang đặc quyền.