Centos - Triển khai ứng dụng web - Cách tốt nhất để sử dụng Tài khoản người dùng không phải apache với SFTP/WinSCP là gì

Tôi có một câu hỏi đơn giản, tuy nhiên, tôi đang cố gắng hiểu cách thực hiện việc này một cách an toàn,

Tôi có một ứng dụng web dựa trên PHP chạy trên Linux (Centos7), tôi có quyền truy cập "người dùng" với đặc quyền Sudo trên máy chủ Linux.

Máy chủ web (Apache) chạy dưới dạng người dùng "apache" với nhóm "apache",

Vấn đề là khi tôi cố gắng triển khai các ứng dụng bằng WinSCP, tôi nhận được lỗi từ chối cấp phép, cách DUY NHẤT tôi có thể giải quyết vấn đề này là thực hiện

usermod -g apache myusername
chmod 775/var/www/html

Tôi không muốn đưa 775 cho toàn bộ thư mục web, Tôi nghĩ đó là một vấn đề bảo mật lớn, Cách an toàn nhất để lưu trữ loại tác vụ này là gì?

Làm cách nào tôi có thể triển khai ứng dụng của mình bằng Winscp bằng tài khoản người dùng của mình nhưng là người dùng AS apache? hoặc bất kỳ đề xuất nào khác về thông lệ công nghiệp phổ biến được coi là an toàn?

Có nhiều cách được đề xuất để giải quyết vấn đề này.

1. Thêm quyền truy cập ghi trên /var/www/html cho người dùng đăng nhập thông qua WinSCP/SFTP. Điều này có thể được thực hiện theo nhiều cách.
   • Thay đổi nhóm thành người dùng đang chạy (và cấp quyền ghi)

     sudo chgrp <người dùng> /var/www/html
     sudo chmod g+w -R /var/www/html
     

     Lưu ý: Điều này hoạt động vì luôn có một nhóm unix được tạo cho người dùng.
   • Tạo một nhóm unix mới chứa cả apache và người dùng (và cấp quyền truy cập ghi)

     sudo groupadd <tên nhóm>
     sudo chgrp <tên nhóm> /var/www/html
     sudo chmod g+w -R /var/www/html
     

2. Chạy dịch vụ apache khi người dùng đăng nhập thông qua WinSCP/SFTP. (liên kết)
3. Di chuyển gốc tài liệu apache từ /var/www/html (Đơn giản bằng cách tạo một liên kết tượng trưng từ/var/www/html đến một thư mục thuộc sở hữu của người dùng triển khai hoặc bằng cách cập nhật cấu hình apache)