Pure-FTPd 目录权限安全问题

我在网站下有www,bbs两个子站点，我通过一段php代码：
function getFileList2($directory) {
$files = array();
if(is_dir($directory)) {
if($files = scandir($directory)) {
$files = array_slice($files,2);
}
}
return $files;
}
var_dump('bbb',getFileList2('/data/'),'aaa');
竟然列出 data 目录下的文件，请问这种安全问题如何解决，如何让各个子站点之间的访问权限只在本站点有效，超过禁止访问。