php ini 如何设置安全性

在 PHP 配置文件（php.ini）中，可以通过设置一些选项来增强 PHP 应用程序的安全性。以下是一些建议的设置：

1. 文件上传限制：限制用户可以上传的文件类型和大小，以防止恶意文件上传和执行。

upload_max_filesize = 10M
post_max_size = 10M

2. 禁止目录列表：禁止服务器显示目录列表，以防止攻击者获取文件或目录结构信息。

disable_functions = ; 禁用某些危险的 PHP 函数

3. 限制文件执行：禁止从 URL 直接执行 PHP 代码，以防止代码注入攻击。

php_value safe_mode on

4. 设置正确的文件权限：确保 PHP 应用程序的文件和目录具有适当的权限，以防止未经授权的访问和修改。

directory_permissions = 755
file_permissions = 644

5. 使用安全的密码哈希算法：使用强密码哈希算法（如 bcrypt）存储用户密码，以提高密码存储的安全性。

password_hash_algorithm = bcrypt

6. 启用错误报告：将错误报告设置为仅记录到日志文件，而不是显示在页面上，以防止敏感信息泄露。

error_reporting = E_ALL
display_errors = Off
log_errors = On
error_log = /path/to/error_log

7. 使用安全的会话管理：设置安全的会话 cookie 选项，如设置 HttpOnly 和 Secure 标志，以防止跨站脚本攻击（XSS）和中间人攻击（MITM）。

session.cookie_httponly = On
session.cookie_secure = On

8. 限制数据库访问：限制数据库连接数，使用强密码，以及定期更新数据库软件，以提高数据库安全性。

max_connections = 50

请注意，这些设置仅作为示例，具体配置可能因应用程序和环境而异。在进行更改之前，请务必了解每个选项的作用，并根据实际需求进行调整。在生产环境中应用更改后，请务必测试应用程序以确保其正常运行。