Dateiberechtigungen entscheiden bei einer Website mit, wie weit ein Angriff kommt: Was der Webserver nicht schreiben darf, kann eine Schadfunktion nicht verändern. In Laravel brauchen allein storage und bootstrap/cache Schreibrechte.
Siehe: Dateirechte (chmod)