服务器上网站文件的权限设置不合理是网站被攻破(被黑)的原因之一，所以为了网站的安全性，建议对网站文件进行权限设置，下面是转自Z-Blog官方博客《ZB文件权限安全设置指南》中的设置内容，宝塔用户可以在宝塔面板的文件管理中操作，非宝塔用户可以通过sftp或者putty之类的工具进行操作。

设置指南：

1、需要保留w权限的目录及子目录及其下所有文件

zb_users/cache

zb_users/upload

2、需要删除w权限的有

zb_system目录及其子目录

zb_users目录下除了cache、upload的其它目录

网站根目录下的index.php、feed.php、search.php文件

3、解决不能ftp覆盖或不能安装主题，插件的问题：

如果要覆盖zb_system就在文件管理里给zb_system及子目录增加w权限

如果要安装新插件，zb_users下的plugin目录也要增加w权限

其它有需求目录也同样处理。

为了防止黑客种木马在网站里，覆盖完成后请尽快删除增加的w权限

4、开启宝塔的代码防篡改功能。(非宝塔用户忽略)

5、nginx的安全配置(非nginx用户忽略)

location ~* /(zb_users/cache|zb_users/upload|zb_users/logs)(.*)\.php$ {
    deny all;
    return 404;
}
 
location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md)
{
    return 404;
}

PS：网站安全问题重中之重，一不小心自己的辛苦耕耘就付诸东流了，所以务必要重视。