FTP中vendor文件夹作用_PHP依赖包目录与Composer
FTP连接到服务器后看到的文件夹列表因主机环境而异，Linux虚拟主机和Windows虚拟主机的目录结构不同，cPanel、宝塔、DirectAdmin等不同面板的默认目录也有差异。但核心目录的作用是相通的，比如网站根目录、日志目录、临时目录、配置目录。本文按目录功能分类讲解，覆盖Linux和Windows环境下的常见目录，说明每个目录的作用、是否可以删除、权限设置建议、常见问题处理。读完本文你就能清楚地知道FTP里每个文件夹是干什么的，管理文件时不再迷茫。
ssl或certs文件夹存放SSL证书文件，包括证书文件（.crt或.pem）、私钥文件（.key）、证书链文件（.ca-bundle）。cPanel中SSL证书在「SSL/TLS」中管理，证书文件实际存放在用户目录下的ssl文件夹。宝塔面板的证书存放在/server/panel/vhost/cert目录。证书文件包含敏感的私钥，私钥泄露会导致HTTPS通信被破解，所以ssl目录权限要严格设置，只有所有者可读（600或700），不要把私钥文件放到网站根目录。如果需要手动安装证书，把证书文件和私钥文件上传到ssl目录，然后在面板中配置或在Web服务器配置文件中引用。
backup或backups文件夹存放网站和数据库的备份文件。很多虚拟主机面板会自动定期备份，备份文件存放在这个目录，包括完整备份（文件+数据库+邮件+配置）和增量备份。备份文件通常是tar.gz或zip格式，文件名包含备份日期。备份目录对数据安全非常重要，网站被黑、误删文件、数据库损坏时，可以从备份恢复。注意不要把备份文件放在网站根目录下（public_html内），否则可能被他人通过URL下载，导致数据泄露。备份文件应该放在根目录外的backup目录，或者下载到本地和云端存储。定期检查备份是否正常生成，测试备份文件能否正常恢复。
.well-known文件夹是标准化的验证目录，用于各种域名所有权验证和协议配置。最常见的是acme-challenge子目录，Let's Encrypt等免费SSL证书在申请时需要验证域名所有权，验证方式是在网站根目录的.well-known/acme-challenge下创建一个验证文件，证书颁发机构通过HTTP访问该文件确认你拥有域名。.well-known还用于其他验证，如Apple Pay的域名验证、Google Search Console的验证、Bing网站管理员工具验证等。这个目录通常由验证工具自动创建和管理，不需要手动操作，但如果自动验证失败，可以手动创建目录和验证文件。.well-known目录在网站根目录下，需要确保Web服务器可以访问。
node_modules文件夹是Node.js的依赖包目录，存放通过npm install安装的所有包。如果你的网站用Node.js构建（如React、Vue前端项目），项目目录下会有node_modules。node_modules通常非常大（几百MB到几GB），包含大量小文件，FTP上传很慢且容易失败。正确的做法是在服务器上运行npm install安装依赖，或者在本地构建后只上传构建产物（dist目录），不上传node_modules和源码。node_modules不需要通过域名访问，应该放在网站根目录外，或者在Web服务器配置中禁止访问node_modules目录。不要把node_modules放到public目录下，会暴露源码和依赖。
cgi-bin文件夹用于存放CGI脚本（Perl、Python、Shell等可执行脚本），是早期动态网页技术的标准目录。cgi-bin目录通常在网站根目录下，有执行权限，放在这里的脚本可以通过http://域名/cgi-bin/脚本名执行。现在PHP、Node.js等技术已经取代了CGI，大部分网站不需要cgi-bin目录。但有些老程序或特定功能（如FormMail表单处理）仍然需要CGI支持。如果你不用CGI，可以删除cgi-bin目录，不影响PHP网站运行。如果需要用CGI，确保cgi-bin目录有执行权限（755），脚本文件有执行权限，脚本第一行指定解释器路径（如#!/usr/bin/perl）。
FTP目录操作的安全注意事项。一是不要把敏感文件（配置文件、数据库备份、SSL私钥、.git目录）放到网站根目录下，根目录下的文件都可以通过URL访问，敏感文件必须放到根目录外。二是目录权限设置要合理，Linux下目录755、文件644是标准，需要写入的目录（uploads、runtime、data）设为755或775，不要全局777。三是定期检查网站目录，发现异常文件（如陌生的.php文件、被篡改的index.php）立即排查，可能是被入侵。四是上传文件前用杀毒软件扫描，避免上传带病毒或后门的文件。五是删除不用的目录和文件，减少攻击面。
.htaccess文件是Apache和LiteSpeed Web Server的分布式配置文件，放在网站根目录下，用于配置伪静态规则、301重定向、访问控制、自定义错误页、Gzip压缩、浏览器缓存、PHP参数等。WordPress设置固定链接后会自动生成.htaccess，dedecms、ThinkPHP等程序也需要配置.htaccess伪静态规则。.htaccess是隐藏文件，FTP中需要开启显示隐藏文件才能看到。如果.htaccess不存在，可以手动创建。修改.htaccess后不需要重启服务器，立即生效。注意.htaccess语法错误会导致网站500错误，修改前备份，修改后测试网站是否正常访问。Nginx不支持.htaccess，需要在配置文件中写规则。
.user.ini文件是PHP的用户级自定义配置文件，放在网站根目录下，用于覆盖php.ini的默认配置，如memory_limit、upload_max_filesize、max_execution_time、display_errors等。.user.ini是PHP 5.3以上版本支持的功能，比php.ini更灵活，每个目录可以有自己的.user.ini。虚拟主机通常允许用户通过.user.ini自定义PHP参数，不需要修改全局php.ini。.user.ini是隐藏文件，FTP中需开启显示隐藏文件。修改.user.ini后，PHP有缓存机制（默认user_ini.cache_ttl=300秒），最多5分钟后生效，不需要重启服务器。注意不要在.user.ini中设置危险参数（如disable_classes清空），可能被主机商限制。
etc文件夹是Linux系统的配置文件目录，存放系统级和服务级的配置文件，如apache的httpd.conf、nginx的nginx.conf、php.ini、mysql的my.cnf等。虚拟主机用户通常只能看到自己用户目录下的etc子目录，存放用户级自定义配置，如.htaccess、php.ini、user.ini等。系统级的/etc目录普通用户没有访问权限，FTP中看不到。如果你需要修改PHP配置，可以在网站根目录创建php.ini或.user.ini文件覆盖默认配置，不需要也不能修改系统级的/etc/php.ini。修改配置后可能需要重启PHP进程才能生效。
bin文件夹存放可执行文件（二进制程序和脚本）。系统级的/bin目录存放基础命令（ls、cp、mv等），/usr/bin存放用户程序，这些目录普通用户没有写入权限，FTP中通常看不到。虚拟主机用户目录下的bin目录可能存放用户自己安装的程序或脚本，如自定义的备份脚本、命令行工具。如果你不需要自己安装命令行程序，bin目录基本用不到。不要把网站文件放到bin目录，无法通过域名访问。如果自己编写脚本放到bin目录，需要设置可执行权限（chmod +x）才能运行。
lib文件夹存放库文件（动态链接库.so和静态链接库.a），是程序运行依赖的共享库。系统级的/lib和/usr/lib目录存放系统库，普通用户只读。虚拟主机用户目录下的lib目录可能存放用户安装程序的依赖库，如自己编译的PHP扩展、Python模块。大部分站长不需要操作lib目录，只有在自己安装自定义扩展或程序时才需要用到。如果安装程序时提示找不到某个库文件，可能需要把库文件放到lib目录并设置LD_LIBRARY_PATH环境变量。不要删除lib目录中的文件，可能导致依赖的程序无法运行。
用户真实体验：「网站上传后访问不到，查了半天才发现是传到了根目录外，应该放到public_html里，按文中说的移过去后网站正常了」「.htaccess是隐藏文件，FTP里一直看不到，按文中说的开启显示隐藏文件后找到了，修改伪静态规则后内页正常访问」。
经验总结：FTP目录结构虽然因面板和环境不同而有差异，但核心逻辑一致——网站根目录放可访问文件，根目录外放敏感文件和系统文件。记住几个关键目录：网站根目录（public_html/wwwroot）、日志目录（logs）、临时目录（tmp）、备份目录（backup）、证书目录（ssl）。管理网站文件时，上传前确认目录，删除前确认用途，权限设置遵循最小原则。遇到问题时先查日志（logs目录），很多错误都能从日志中找到原因。熟悉目录结构后，网站管理和故障排查都会高效很多。
更新时间：2026-09-01 14:17:04