Ubuntu中php-fpm如何实现安全策略

在Ubuntu系统中，使用PHP-FPM（FastCGI Process Manager）时，确保其安全运行是非常重要的。以下是一些实现PHP-FPM安全策略的建议：

1. 使用最新版本的PHP和PHP-FPM

确保你使用的是最新版本的PHP和PHP-FPM，因为新版本通常包含安全修复和改进。

sudo apt update
sudo apt upgrade php-fpm php-cli

2. 配置PHP-FPM用户和组

确保PHP-FPM以非特权用户和组运行，以减少潜在的安全风险。

编辑/etc/php/7.x/fpm/pool.d/www.conf文件（根据你的PHP版本调整路径），找到并修改以下行：

user = www-data
group = www-data

3. 限制PHP-FPM进程数量

通过配置pm.max_children、pm.start_servers、pm.min_spare_servers和pm.max_spare_servers参数来限制PHP-FPM进程的数量。

pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

4. 启用PHP-FPM的慢日志

启用慢日志可以帮助你监控和调试潜在的性能问题。

request_slowlog_timeout = 10s
slowlog = /var/log/php-fpm/www-slow.log

5. 配置PHP的安全选项

编辑/etc/php/7.x/cli/php.ini和/etc/php/7.x/fpm/php.ini文件，配置以下安全选项：

• display_errors = Off：禁用错误显示。
• log_errors = On：启用错误日志。
• error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT：限制错误报告。
• open_basedir：限制PHP可以访问的目录。
• disable_functions：禁用危险函数。

display_errors = Off
log_errors = On
error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT
open_basedir = /var/www/html/:/tmp/
disable_functions = exec,passthru,shell_exec,system

6. 使用防火墙限制访问

使用ufw或iptables限制对PHP-FPM端口的访问。

sudo ufw allow 9000/tcp
sudo ufw enable

7. 定期更新和打补丁

定期更新系统和PHP-FPM以修补已知的安全漏洞。

sudo apt update
sudo apt upgrade

8. 使用SELinux或AppArmor

如果你使用的是SELinux或AppArmor，可以进一步限制PHP-FPM的权限。

SELinux

安装并配置SELinux策略：

sudo apt install selinux-basics selinux-policy-default
sudo setenforce 1

AppArmor

安装并配置AppArmor：

sudo apt install apparmor apparmor-utils
sudo aa-enforce /etc/apparmor.d/usr.sbin.php-fpm

9. 监控和日志审计

定期检查PHP-FPM的日志文件，监控异常行为。

tail -f /var/log/php-fpm/www-error.log
tail -f /var/log/php-fpm/www-slow.log

通过以上步骤，你可以显著提高PHP-FPM在Ubuntu系统中的安全性。