理论上来说tmp和private file应该设置到 files之外（www之外），

比如 

/opt/www.a.com/files/private

/opt/www.a.com/files/tmp

但是，这样的弊端就是管理和打包，我要复制整个站点/var/www/a.com 就复制不了 private和tmp文件夹。

我一般用省事的办法，就是把private和tmp都放到files下面，然后在private和tmp下面配置htaccess访问权限。

deny from all

其他相关文件设置策略：

files 2775  #所有者apache.apache即可，即使ftp传上来都可以处理
tmp 777
settings.php 444 #只需要可读 如果里面有mysql密码，不让其他人读，可以440，然后修改group owner

Security Review                          --  安全永无极限，drupal已经很安全了，但不妨碍进一步加固，多种多样的安全扫描

这个模块也会 建议你的 目录权限