php-fpm在centos上的安全设置

在CentOS上配置PHP-FPM的安全设置，可以遵循以下步骤来提高系统的安全性：

1. 更新系统和软件： 确保你的CentOS系统和PHP-FPM都是最新版本，以避免已知的安全漏洞。

   sudo yum update
   

2. 使用防火墙： 使用firewalld或iptables来限制对PHP-FPM服务的访问。

   sudo firewall-cmd --permanent --zone=public --add-service=http
   sudo firewall-cmd --permanent --zone=public --add-service=https
   sudo firewall-cmd --reload
   

3. 配置PHP-FPM： 编辑PHP-FPM配置文件（通常位于/etc/php-fpm.d/www.conf或/etc/php-fpm.conf），进行以下安全设置：

   • 监听地址：将listen指令设置为Unix socket或仅允许本地连接，而不是TCP/IP端口。

     listen = /run/php-fpm/www.sock
     ; 或者
     listen = 127.0.0.1:9000
     

   • 用户和组：确保PHP-FPM以非特权用户和组运行。

     user = apache
     group = apache
     

   • 限制访问：设置listen.allowed_clients来限制哪些客户端可以连接到PHP-FPM。

     listen.allowed_clients = 127.0.0.1
     

   • 安全日志：启用错误日志记录，并定期检查。

     catch_workers_output = yes
     php_admin_value[error_log] = /var/log/php-fpm/error.log
     

   • 资源限制：使用php_admin_value来设置资源限制，如内存限制。

     php_admin_value[memory_limit] = 128M
     

   • 禁用危险函数：使用php_admin_value[disable_functions]来禁用危险的PHP函数。

     php_admin_value[disable_functions] = eval,preg_replace,exec,system,shell_exec,passthru
     

4. SELinux： 如果启用了SELinux，确保正确配置它以支持PHP-FPM。

   sudo setsebool -P httpd_can_network_connect_db 1
   sudo chcon -Rt httpd_sys_content_t /path/to/your/webroot
   

5. 文件权限： 确保Web根目录和文件的权限设置正确，以防止未授权访问。

   sudo chown -R apache:apache /path/to/your/webroot
   sudo find /path/to/your/webroot -type d -exec chmod 755 {} \;
   sudo find /path/to/your/webroot -type f -exec chmod 644 {} \;
   

6. 定期备份： 定期备份你的系统和数据，以便在发生安全事件时能够快速恢复。

7. 监控和日志： 设置监控和日志记录，以便及时发现异常行为。

   sudo tail -f /var/log/php-fpm/error.log
   

通过以上步骤，你可以显著提高在CentOS上运行PHP-FPM的安全性。记得定期检查和更新你的安全设置，以应对新的威胁。