Ubuntu PHP配置中如何启用安全模式

Ubuntu PHP配置中“安全模式”的启用说明及替代方案

1. 重要前提：PHP版本与安全模式的兼容性

安全模式（safe_mode）是PHP早期版本的内置安全机制，用于限制脚本的文件访问、函数执行等权限。但自PHP 5.3.0起，安全模式被标记为“弃用”（deprecated）；自PHP 7.0.0起，该功能被完全移除。因此，若你使用的是PHP 7及以上版本，无法通过safe_mode启用传统安全模式，需采用其他替代安全措施。

2. 若使用PHP 5.3及以下版本（支持安全模式）的启用步骤

若你的Ubuntu系统仍使用PHP 5.3或更早版本，可通过修改php.ini配置文件启用安全模式，具体步骤如下：

• 步骤1：定位php.ini文件
  运行以下命令查找php.ini的位置（根据PHP运行模式不同，路径可能为cli/php.ini或fpm/php.ini）：

  php --ini
  

  例如，常见路径为/etc/php/5.6/apache2/php.ini（Apache）或/etc/php/5.6/fpm/php.ini（PHP-FPM）。

• 步骤2：修改php.ini配置
  用文本编辑器（如nano）打开php.ini，找到safe_mode设置并修改为：

  safe_mode = On
  

  同时，建议配置以下关联选项以增强安全性：

  safe_mode_gid = Off       # 禁止同组用户访问脚本文件（默认Off，无需修改）
  open_basedir = /var/www/html:/tmp  # 限制脚本只能访问网站目录和临时目录
  disable_functions = exec,system,passthru,shell_exec,phpinfo  # 禁用危险函数
  allow_url_fopen = Off     # 禁止通过URL打开远程文件
  allow_url_include = Off   # 禁止通过URL包含远程文件
  

  其中，open_basedir需替换为你实际的网站根目录（如/var/www/html）。

• 步骤3：重启Web服务器
  修改完成后，保存文件并重启Web服务器（Apache/Nginx+PHP-FPM）以应用更改：

  # Apache
  sudo systemctl restart apache2
  
  # Nginx + PHP-FPM
  sudo systemctl restart php5.6-fpm
  sudo systemctl restart nginx
  

• 步骤4：验证配置
  创建info.php文件（内容为<?php phpinfo(); ?>），放置在网站根目录下，通过浏览器访问该文件，检查“PHP Configuration”部分是否显示safe_mode = On及其他配置已生效。

3. PHP 7及以上版本的替代安全措施

若使用PHP 7及以上版本，需通过以下方式替代安全模式，提升环境安全性：

• 禁用危险函数：在php.ini中配置disable_functions，禁用exec、system、shell_exec等可能执行系统命令的函数。
• 限制文件访问：使用open_basedir约束脚本可访问的目录，防止非法读取系统文件。
• 关闭错误信息泄露：设置display_errors = Off，将错误日志写入error_log文件，避免暴露服务器路径、数据库结构等信息。
• 使用Web应用防火墙（WAF）：安装mod_security等WAF模块，过滤SQL注入、XSS等恶意请求。
• 定期更新与权限控制：保持PHP及扩展为最新版本，修复已知漏洞；设置网站目录权限为755（所有者可读写执行，组和其他用户仅可读执行），避免脚本被篡改。

总结提示

安全模式已不再是PHP的推荐安全方案，尤其是PHP 7及以上版本。建议优先通过更新版本、配置合理的安全选项及使用WAF等方式，构建更完善的安全防护体系。