ubuntu下php安全性如何保障 - 问答

1. 系统与PHP版本更新
保持Ubuntu系统和PHP及其扩展为最新版本，及时修复已知安全漏洞。使用以下命令更新系统及PHP：

sudo apt update && sudo apt upgrade -y
sudo apt install php php-cli php-fpm php-mysql php-curl php-xml php-zip --only-upgrade

2. PHP配置文件（php.ini）安全优化
通过调整php.ini关键参数，降低安全风险：

错误报告控制：关闭详细错误显示（防止敏感信息泄露），开启日志记录。
```
display_errors = Off
log_errors = On
error_log = /var/log/php_errors.log
```
禁用危险函数：禁止执行系统命令、文件操作等高危函数（根据需求调整）。
```
disable_functions = eval,exec,system,passthru,shell_exec,curl_exec,proc_open
```
限制文件上传：约束上传文件大小（避免大文件消耗资源），禁止上传可执行文件。
```
upload_max_filesize = 2M
post_max_size = 8M
file_uploads = On
```
限制信息泄露：隐藏PHP版本信息（防止针对性攻击）。
```
expose_php = Off
```
资源控制：限制脚本执行时间和内存占用（防止资源耗尽攻击）。
```
max_execution_time = 30
memory_limit = 128M
```

3. Web服务器安全配置
根据使用的Web服务器（Apache/Nginx）调整配置，增强防护：

Apache：禁用不必要的模块（如xmlrpc），隐藏版本信息，启用mod_security（Web应用防火墙）。

sudo a2dismod xmlrpc
sudo sed -i 's/ServerTokens OS/ServerTokens Prod/' /etc/apache2/conf-available/security.conf
sudo a2enmod security2
sudo systemctl restart apache2

Nginx：限制访问敏感文件（如xmlrpc.php），仅允许可信IP访问登录页面。

location = /xmlrpc.php { deny all; }
location = /wp-login.php { allow 192.168.1.1; deny all; }

4. 安全模块启用
利用Ubuntu自带的安全模块限制PHP进程权限：

AppArmor：启用并配置AppArmor profile（如usr.sbin.php-fpm），限制PHP对系统资源的访问。
```
sudo aa-enforce /etc/apparmor.d/usr.sbin.php-fpm
sudo aa-status  # 查看状态
```

UFW防火墙：限制HTTP/HTTPS访问，禁止非法IP连接。

sudo ufw allow 'Apache Full'  # 或 'Nginx Full'
sudo ufw enable

5. 代码与数据安全实践
遵循安全编码规范，防范常见攻击：

输入验证与过滤：对用户输入（如表单、URL参数）进行过滤（防止SQL注入、XSS）。
```
$name = htmlspecialchars($_POST['name'], ENT_QUOTES, 'UTF-8');
```

预处理语句：使用PDO或MySQLi扩展，避免SQL注入。

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch();

密码哈希：使用password_hash()函数存储密码（推荐PASSWORD_DEFAULT算法）。
```
$hashed = password_hash($password, PASSWORD_DEFAULT);
```

会话安全：设置HttpOnly、Secure标志（防止会话劫持），限制会话生命周期。

session_start();
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);  # 仅HTTPS传输
ini_set('session.gc_maxlifetime', 1800);  # 30分钟

6. HTTPS加密与认证
使用SSL/TLS证书加密数据传输，防止中间人攻击：

通过Let’s Encrypt免费获取证书：

sudo apt install certbot python3-certbot-apache  # Apache
sudo certbot --apache -d yourdomain.com

强制HTTPS跳转（在Web服务器配置中添加）：

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

7. 日志监控与定期审计
实时监控系统活动，及时发现异常：

日志查看：定期检查Apache、PHP错误日志及访问日志。

sudo tail -f /var/log/apache2/error.log
sudo tail -f /var/log/php_errors.log

入侵检测：使用auditd监控关键目录（如PHP文件目录）。

sudo apt install auditd
sudo auditctl -w /var/www/html -p wa -k php_files

定期审计：使用工具（如PHPSA）扫描代码漏洞，检查依赖库安全（composer audit）。

8. 文件与目录权限管理
设置合理权限，防止未授权访问：

文件所有权：将PHP文件归属为Web服务器用户（如www-data）。
```
sudo chown -R www-data:www-data /var/www/html
```

权限设置：目录设为755（可读可执行），文件设为644（可读可写），敏感文件（如配置文件）限制为600。

sudo find /var/www/html -type d -exec chmod 755 {} \;
sudo find /var/www/html -type f -exec chmod 644 {} \;
sudo chmod 600 /var/www/html/config.php

0 赞

0 踩