FTP中config文件夹作用_应用配置目录与参数文件
了解FTP目录结构不仅是为了正确上传文件，更是为了网站安全和运维效率。很多安全问题都与目录权限和目录位置有关——把配置文件放到网站根目录会被下载，日志目录权限过大会被写入恶意文件，上传目录没有限制执行会被上传webshell。知道每个目录的作用，才能正确设置权限、保护敏感文件、排查入侵痕迹。本文从实用角度出发，讲解FTP中常见文件夹的用途，同时给出权限设置建议和安全注意事项，帮助你安全高效地管理网站文件。
public_html是cPanel面板Linux虚拟主机的网站根目录，域名访问的文件都放在这个目录下。你上传的网站程序（WordPress、dedecms等）、图片、CSS、JS等所有可通过域名访问的文件都要放在public_html里。这个目录的权限通常是750或755，所有者是你的cPanel用户。不要在public_html外放置需要通过域名访问的文件，否则访问不到。子域名或附加域名的根目录默认在public_html下的子目录，如public_html/blog，也可以在cPanel中修改为public_html外的目录。
wwwroot是宝塔面板和Windows IIS环境的网站根目录名称。宝塔Linux面板中，每个网站的根目录默认是/www/wwwroot/域名，通过FTP连接后看到的wwwroot就是该网站的根目录。Windows IIS环境中，网站根目录默认是C:inetpubwwwroot，也可以在IIS管理器中自定义路径。无论哪种环境，wwwroot的作用和public_html一样，都是存放网站程序文件、用户通过域名访问的内容。上传文件时确认放到wwwroot目录下，不要放到上层目录。
htdocs是XAMPP、WAMP等本地集成环境和部分Apache虚拟主机的网站根目录名称。htdocs是hypertext documents的缩写，即超文本文档目录，存放网页文件。如果你用XAMPP在本地开发网站，网站文件放在xampp/htdocs目录下，通过http://localhost访问。部分海外虚拟主机也用htdocs作为根目录。作用和public_html、wwwroot完全相同，只是命名不同。上传文件时确认主机的根目录名称，放到正确的目录下，不要因为名称不同而困惑。
backup或backups文件夹存放网站和数据库的备份文件。很多虚拟主机面板会自动定期备份，备份文件存放在这个目录，包括完整备份（文件+数据库+邮件+配置）和增量备份。备份文件通常是tar.gz或zip格式，文件名包含备份日期。备份目录对数据安全非常重要，网站被黑、误删文件、数据库损坏时，可以从备份恢复。注意不要把备份文件放在网站根目录下（public_html内），否则可能被他人通过URL下载，导致数据泄露。备份文件应该放在根目录外的backup目录，或者下载到本地和云端存储。定期检查备份是否正常生成，测试备份文件能否正常恢复。
.ssh文件夹存放SSH密钥对和配置文件，包括id_rsa（私钥）、id_rsa.pub（公钥）、authorized_keys（授权公钥列表）、known_hosts（已知主机指纹）、config（SSH客户端配置）。.ssh目录权限必须是700，authorized_keys文件权限必须是600，否则SSH密钥认证会失败（SSH出于安全考虑会拒绝权限过宽的密钥文件）。私钥文件id_rsa是敏感文件，泄露后他人可以用你的密钥登录服务器，必须严格保护。如果你用SSH密钥登录服务器，.ssh目录会自动创建。FTP中.ssh是隐藏目录，需要开启显示隐藏文件才能看到。不要删除.ssh目录，否则SSH密钥登录失效。
temp文件夹和tmp作用相同，都是临时文件目录，只是命名不同。Windows系统中常用temp，Linux系统中常用tmp。有些程序会在自己的目录下创建temp文件夹存放临时缓存，如dedecms的data/temp，WordPress的wp-content/temp。这些程序级临时目录的作用和系统tmp类似，存放程序运行时的临时文件，可以定期清理但不要删除目录本身。如果程序提示临时目录不可写，需要给temp目录设置写入权限（Linux下755或777，Windows下给IIS用户添加写入权限）。清理临时文件时注意不要删除正在使用的文件，可能导致程序异常。
logs文件夹存放网站的访问日志和错误日志。访问日志记录每个请求的IP、时间、请求URL、状态码、User Agent等信息，错误日志记录PHP错误、服务器错误、404错误等。日志文件通常按天或按大小轮转，文件名包含日期，如access_log.2024-01-01。日志目录对排查问题非常重要——网站被攻击时可以查访问日志找攻击IP，页面报错时可以查错误日志定位原因，SEO分析时可以查搜索引擎蜘蛛的抓取记录。日志文件不要删除，但可以定期清理旧日志释放空间，面板通常有日志轮转自动清理。
session文件夹用于存储PHP会话文件（如果session配置为文件存储）。每个用户访问网站时，PHP会在session目录创建一个以sess_开头的文件，存储该用户的会话数据（如登录状态、购物车内容）。session目录需要写入权限，否则用户登录状态无法保持、购物车内容丢失。session文件有过期时间，过期后会被PHP的垃圾回收机制自动删除，但如果访问量小或配置不当，旧session文件可能积累占用空间，可以定期手动清理15天以上的session文件。注意不要删除正在使用的session文件，会导致用户掉线。部分主机的session目录在/tmp下，FTP中看不到。
vendor文件夹是PHP Composer的依赖包目录，存放通过composer install安装的第三方库。ThinkPHP、Laravel等现代PHP框架都用Composer管理依赖，vendor目录包含框架核心和所有第三方扩展。vendor目录通常很大（几百MB），包含大量文件，上传时耗时较长。正确的做法是在服务器上用composer install安装依赖，而不是把本地vendor目录上传。如果虚拟主机不支持SSH和Composer，只能在本地安装后上传vendor目录。vendor目录不需要写入权限，设为只读即可（755）。不要手动修改vendor目录中的文件，更新依赖时会被覆盖，自定义修改应该在自己的代码中完成。
node_modules文件夹是Node.js的依赖包目录，存放通过npm install安装的所有包。如果你的网站用Node.js构建（如React、Vue前端项目），项目目录下会有node_modules。node_modules通常非常大（几百MB到几GB），包含大量小文件，FTP上传很慢且容易失败。正确的做法是在服务器上运行npm install安装依赖，或者在本地构建后只上传构建产物（dist目录），不上传node_modules和源码。node_modules不需要通过域名访问，应该放在网站根目录外，或者在Web服务器配置中禁止访问node_modules目录。不要把node_modules放到public目录下，会暴露源码和依赖。
cgi-bin文件夹用于存放CGI脚本（Perl、Python、Shell等可执行脚本），是早期动态网页技术的标准目录。cgi-bin目录通常在网站根目录下，有执行权限，放在这里的脚本可以通过http://域名/cgi-bin/脚本名执行。现在PHP、Node.js等技术已经取代了CGI，大部分网站不需要cgi-bin目录。但有些老程序或特定功能（如FormMail表单处理）仍然需要CGI支持。如果你不用CGI，可以删除cgi-bin目录，不影响PHP网站运行。如果需要用CGI，确保cgi-bin目录有执行权限（755），脚本文件有执行权限，脚本第一行指定解释器路径（如#!/usr/bin/perl）。
站长反馈：「刚用虚拟主机时FTP里一堆文件夹不知道干嘛的，看了这篇才清楚public_html是放网站的，logs是看日志的，tmp是临时文件，以后管理文件不再乱删了」「之前把数据库备份放到public_html里，幸好看到文章说不能放根目录，赶紧移到backup目录，不然被人下载就麻烦了」。
操作提示：用FTP连接主机后，先确认网站根目录名称（public_html/wwwroot/htdocs），网站程序上传到根目录下。上传前在本地整理好文件结构，避免上传后再移动。重要操作前备份文件，删除文件前确认是否有用。隐藏文件（.开头的文件如.htaccess、.user.ini、.ssh）需要在FTP设置中开启显示隐藏文件才能看到。日志文件可以下载到本地分析，不需要在线修改。如果不确定某个文件夹的作用，不要随便删除，先查资料或咨询主机商。
更新时间：2026-09-02 13:31:48
上一篇：中国数据虚拟主机访问量暴增排查_被盗链采集攻击的区分