Linux服务器上保障 Laravel 安全的实操清单
一 系统与网络加固
- 保持系统与软件为最新安全版本：Linux 发行版（如 Ubuntu/Debian/CentOS）、Nginx/Apache、PHP、数据库与依赖库，及时修补漏洞。
- 配置防火墙仅开放必要端口：如 22(SSH)、80/443(HTTP/HTTPS)；使用 firewalld/iptables 或云安全组策略最小化暴露面。
- 禁用或移除不必要的 Web 服务器模块与功能，减少攻击面。
- 为 SSH 启用密钥登录、禁用 root 直登、更改默认端口、限制可登录用户与来源网段（可选）。
二 Web 服务器与 PHP 安全
- 以 Nginx/Apache 的 public/ 目录为站点根目录，禁止直接访问上层代码与敏感文件（如 .env）。
- 统一添加安全响应头：
- X-Frame-Options: DENY/SAMEORIGIN（防点击劫持）
- X-XSS-Protection: 1; mode=block（浏览器 XSS 过滤）
- X-Content-Type-Options: nosniff（防 MIME 嗅探）
- 建议增加 Content-Security-Policy（CSP）以缓解 XSS。
- 启用 HTTPS 并强制跳转：使用 Let’s Encrypt/certbot 自动签发与续期证书，配置 301 跳转。
- PHP 加固要点：
- 关闭错误显示：display_errors = Off；开启日志记录：log_errors = On
- 禁用危险函数（如 exec、system、shell_exec 等，若业务无需）
- 启用 OPcache 提升性能并减少暴露面
三 Laravel 应用层安全配置
- 生成并妥善保管 APP_KEY：执行 php artisan key:generate；生产环境设置 APP_ENV=production、APP_DEBUG=false。
- 保护 .env：确保加入 .gitignore，权限最小化，禁止 Web 访问；敏感信息仅存于环境变量。
- 强制 HTTPS：在 .env 设置 APP_URL=https://…，并开启 SESSION_COOKIE_SECURE、CSRF_COOKIE_SECURE；可添加全局 HTTPS 中间件或在 Web 服务器层 301 跳转。
- 表单与接口安全：
- 启用并正确使用 CSRF（表单加 @csrf，AJAX 设置 X-CSRF-TOKEN 头）
- 严格 输入验证/消毒（Form Request、Validator）
- 使用 Eloquent/查询构造器 的参数化查询，避免原始 SQL
- 实施 速率限制（如登录接口使用 throttle 中间件）
- 会话与 Cookie：配置 secure=true、http_only=true、same_site=strict/lax，设置合理 lifetime。
- 文件上传：限制 类型/大小，存储于非 Web 可直接执行目录，必要时对文件内容做安全检查。
四 依赖、漏洞扫描与监控备份
- 依赖管理：定期执行 composer update；使用 Dependabot/Renovate 自动升级；移除无用依赖。
- 漏洞扫描：集成 enlightn/security-checker 并运行 php artisan security:check，及时修复已知漏洞。
- 日志与监控：启用并轮转 Laravel 日志（storage/logs），结合 Nagios/Zabbix/Prometheus+Grafana 等监控异常流量、登录失败、响应码异常等。
- 备份与恢复：定期备份代码、数据库与附件，保留多份异地副本，定期演练恢复流程。
五 权限与目录结构
- 目录所有权：项目所有者设为 Web 服务用户（如 www-data），如：
- chown -R www-data:www-data /var/www/laravel
- 目录权限：
- storage、bootstrap/cache 需可写：chmod -R 755
- 其他目录（如 app、config）设为只读：chmod 755
- 禁止访问敏感与隐藏文件：
- Nginx 示例：location ~ /.(?!well-known).* { deny all; }
- 配置缓存：生产环境执行 php artisan config:cache 提升性能并降低读取 .env 的频次。