Debian PHP配置有哪些最佳实践

Debian 上部署与调优 PHP 的实用清单

一 基础与版本管理

• 保持系统与 PHP 为最新稳定版，及时应用安全补丁；若运行旧版 Debian，优先通过 backports 获取较新的 PHP 安全修复。示例：echo “deb http://deb.debian.org/debian $(lsb_release -cs)-backports main” | sudo tee /etc/apt/sources.list.d/backports.list && sudo apt update && sudo apt install -t $(lsb_release -cs)-backports php php-cli。必要时再考虑编译安装。
• 生产环境优先选择 PHP-FPM + Nginx/Apache Event MPM，相较传统 mod_php 具备更好的并发与资源管理能力。
• 仅安装与业务相关的扩展，减少攻击面；常见必备扩展：php-curl、php-gd、php-mbstring、php-xml、php-zip、php-mysqlnd、php-opcache。

二 安全加固

• 关闭对外暴露的版本信息与错误回显：设置 expose_php = Off、display_errors = Off，同时开启 log_errors = On 并配置日志路径。
• 限制危险能力：在 php.ini 中按需禁用高危函数，例如 disable_functions = exec,passthru,shell_exec,system（切勿盲目禁用框架/依赖必需函数）。
• 收紧文件系统与远程包含：使用 open_basedir 限制脚本可访问目录；如无明确需求，关闭 allow_url_fopen 与 allow_url_include。
• 启用 HTTPS，保护传输数据；配合 防火墙 仅开放 80/443/SSH 等必要端口。
• 自动化安全更新：安装并启用 unattended-upgrades，降低因未及时打补丁带来的风险。
• 依赖安全：使用 Composer security-checker 定期扫描项目依赖的已知漏洞。

三 性能优化

• 启用并正确配置 OPcache（生产建议开启 JIT，若可用）：
  [opcache]
  opcache.enable=1
  opcache.memory_consumption=128
  opcache.interned_strings_buffer=8
  opcache.max_accelerated_files=4000
  opcache.revalidate_freq=60
• 使用 PHP-FPM 动态进程管理 并合理设置进程池参数（示例为中等并发起点，需按内存与压测结果调优）：
  pm = dynamic
  pm.max_children = 50
  pm.start_servers = 5
  pm.min_spare_servers = 5
  pm.max_spare_servers = 35
• Web 服务器优化：
  • Nginx 开启 gzip 压缩；
  • Apache 启用 mod_deflate 压缩与 mod_expires 缓存策略。
• 页面与资源优化：启用浏览器缓存、合并/压缩静态资源、使用 CDN 分发静态文件。

四 运行环境与监控

• 区分 CLI 与 FPM 的 php.ini，避免开发期配置污染生产（如开发可 display_errors，生产必须关闭）。
• 正确设置基础参数：memory_limit、max_execution_time、upload_max_filesize、post_max_size、date.timezone；上传场景按需调整大小限制。
• 数据库连接与查询：优先使用 持久连接（如 mysqli(‘p:…’)）、为高频查询建立合适索引、避免 SELECT *、用 EXPLAIN 分析慢查询。
• 缓存层：引入 Redis/Memcached 做数据/页面缓存，降低数据库压力。
• 日志与监控：开启 PHP-FPM 慢日志 与 访问日志，结合 php-fpm status 页面、top/htop 等观察瓶颈并迭代参数。

五 部署与维护流程

• 变更流程：修改配置后按服务重启（如 systemctl restart php-fpm 及 nginx/apache2），并在灰度/低峰期进行。
• 版本切换与回滚：使用 update-alternatives 管理 CLI 默认版本，保留上一版本包以便快速回滚。
• 备份与演练：定期备份代码、配置与数据库；在测试环境验证参数变更与回滚预案。
• 持续安全：启用 unattended-upgrades；定期运行 security-checker 并修复依赖漏洞；对公网应用接入 WAF/速率限制/防爬虫 等防护。