Ubuntu PHP日志安全策略有哪些

Ubuntu PHP日志安全策略清单

一 基础配置与输出控制

• 在生产环境关闭面向用户的错误展示，开启日志记录，避免敏感信息泄露到页面：设置 display_errors = Off、log_errors = On，并指定专用日志路径（如 error_log = /var/log/php_errors.log）。
• 合理设置 error_reporting，避免记录过多调试细节；仅记录必要级别（如生产建议 E_ALL & ~E_DEPRECATED & ~E_STRICT 或更高等级的错误）。
• 禁止将日志写入 Web 根目录，防止通过URL直接访问；确保日志目录与文件不在可被Web直接读取的路径下。
• 若使用框架/组件（如 Guzzle），避免记录完整请求头与请求体；对 Authorization、Cookie、请求/响应体 等敏感区域进行脱敏后再写入。

二 权限与访问控制

• 日志目录与文件的所有者与权限：将日志目录属主设为 www-data:www-data，目录权限 755，日志文件权限 640，仅允许服务账户写入、同组读取，其他用户无权限。
• 确保运行 PHP-FPM 的进程使用非 root 专用账户，并与日志目录权限匹配，避免因权限不当导致写入失败或越权访问。
• 在启用 AppArmor/SELinux 的系统上，添加或调整策略，允许 Web 服务与 PHP-FPM 对日志目录/文件的写入；排查权限问题时同时检查安全模块策略是否阻断。
• 对日志目录设置严格的访问控制，仅允许必要的系统账户与日志收集进程访问。

三 日志轮转与存储保护

• 使用 logrotate 对 PHP 与应用日志进行按日/按大小轮转，设置保留份数与压缩，防止单文件过大并降低泄露窗口。
• 对历史与归档日志设置更严格的访问控制；不再需要的旧日志及时清理或脱敏后归档。
• 涉及敏感日志的传输与集中存储（如 rsyslog/ELK/Splunk）启用 TLS/SSL 加密，避免明文传输导致窃听与篡改。
• 对高价值日志可考虑在存储层进行加密与完整性校验（如文件系统加密、校验和/签名），提升机密性与可审计性。

四 敏感信息治理与审计监控

• 在日志写入前对敏感数据进行脱敏：如 密码、API Key、信用卡号、身份证号、手机号 等；可使用正则或专用日志库处理器统一处理。
• 统一使用成熟的日志库（如 Monolog），结合日志级别、处理器与格式化器，减少冗余并集中管理脱敏与输出策略。
• 建立日志审计与实时监控机制：对异常关键字、访问模式与失败登录等进行告警；定期抽样审计日志的完整性与合规性。
• 保持 PHP、PHP-FPM、Web 服务器与日志组件 的及时更新，修复已知漏洞，降低被日志相关攻击面利用的风险。

五 关键配置示例

• php.ini（生产建议）
  • 错误与日志：
    • display_errors = Off
    • log_errors = On
    • error_log = /var/log/php_errors.log
    • error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT
  • 运行安全：
    • allow_url_fopen = Off
    • allow_url_include = Off
    • open_basedir = /var/www/html/:/tmp/
    • disable_functions = eval,exec,passthru,shell_exec,system（按需精简）
• 权限与目录
  • 目录：
    • sudo chown www-data:www-data /var/log/php_app/
    • sudo chmod 755 /var/log/php_app/
  • 文件：
    • sudo chown www-data:www-data /var/log/php_app/error.log
    • sudo chmod 640 /var/log/php_app/error.log
• logrotate 示例（/etc/logrotate.d/php_app）
  • /var/log/php_app/*.log {
    • daily
    • missingok
    • rotate 30
    • compress
    • delaycompress
    • notifempty
    • create 640 www-data www-data
    • sharedscripts
    • postrotate
      • systemctl reload php**{version}**-fpm > /dev/null 2>&1 || true
    • endscript
      }
• 说明：将 {version} 替换为实际 PHP 版本；变更后重启 PHP-FPM/Web 服务 使配置生效。