stardgЯ директории под виртуальный хост (DOCUMENT_ROOT) и всем вложенным устанавливаю владельца apache:apache.Не гуд. В смысле, оно как-то годится для ковыряния на домашнем компе. Но для нормальной работы в продакшне - пожалуй, только если на сервере лишь один-единственный сайт живет.


stardgНо если не ставить владельцем файлов и директорий сайта апача, то тогда и CMS работать не смогут (если чмод 777 не делать).Глупости. Апачу читать в основном достаточно. И чуть-чуть писать. А уж выполнять пхпшное так и вовсе не требуется. За очень-очень редким исключением.
Итого, владелец будет рядовой пользователь - ему читать и писать. Группа - основная пользовательская, только читать, за исключением директории загружаемых файлов, куда можно и писать. Вебсервер входит в группу пользователя. Остальным - нефиг делать или только читать.
Это касаемо файлов. Для директорий добавить право входа.
Если настроить suEXEC + какой-нить fast-cgi, тогда жить ещё проще, там Апачу писать ничего не надо вовсе.


stardgКак блин тогда всё это работает нормально у хостеров? Годами сайты лежат никто ничего не может запихнуть лишнегоВо-первых, настроены разного рода разграничения по пользователям. Во-вторых, обрезано потенциально опасное и приводящее к проблемам. Даже встречал хостинг, где сайты не работали, если на файлы/каталоги выставлены завышенные права доступа (ставишь 777 на директорию сайта - ошибка 500, ставишь 755 - работает). Для хостера - это бизнес, который должен стабильно работать и устраивать ну никак не менее 95% пользователей. Кому ограничения хостинга не нравятся - вэлкам на ВПСку и сами там трахтибидохайтесь или парьтесь - это по выбору. В чем Вы и убедились, собственно говоря.

stardgЯ просто искренне считал, что для работы CMS владелец (apache) должен иметь права на eXecute...Право выполнения - это из CGI идет, там надо, да.


stardgТо есть фактически, можно всем хостам поставить владельцем rootЕщё один выстрел в ногу, да? Почитайте что-нибудь по основам администрирования операционных систем (любых распространенных) и откройте для себя "рядового пользователя".