PHP配置在Debian上要注意什么

Debian上配置PHP的关键注意事项

一 版本与源管理

• 明确目标版本：Debian 10(buster) 默认 PHP 7.3，Debian 11(bullseye) 默认 PHP 7.4，Debian 12(bookworm) 默认 PHP 8.2。生产环境尽量使用发行版默认版本，除非有充分理由选择第三方源（如 Ondřej Surý 的仓库）。
• 扩展安装要与版本一致：例如安装 php7.4-mysql 或 php8.2-curl，避免混装不同版本的扩展包。
• 多版本并存时，用 update-alternatives 管理 cli 默认版本，并为每个 SAPI（如 apache2、fpm）分别配置对应版本的 php.ini。

二 配置文件与目录结构

• 配置路径遵循约定：
  • Apache SAPI：/etc/php/{version}/{sapi}/php.ini（如 /etc/php/8.2/apache2/php.ini）
  • PHP-FPM：/etc/php/{version}/fpm/php.ini 与 /etc/php/{version}/fpm/pool.d/www.conf
• FPM 进程池：在 www.conf 中设置 listen（如 /run/php/php{version}-fpm.sock 或 127.0.0.1:9000）、user/group、以及 pm（dynamic/static/ondemand）与 pm.max_children 等关键参数。
• 修改后验证与生效：
  • FPM 配置测试：php-fpm{version} -t；重载：systemctl reload php{version}-fpm
  • Apache：systemctl reload apache2；Nginx：nginx -t && systemctl reload nginx
• 避免误改：确认当前生效的 SAPI 目录，避免把 cli 的 php.ini 当作 fpm/apache2 使用。

三 安全加固要点

• 关闭对外暴露：生产环境将 display_errors = Off、expose_php = Off。
• 限制危险能力：禁用 allow_url_fopen / allow_url_include（除非业务必须）；按需设置 open_basedir 限制文件访问范围。
• 禁用高危函数：如 exec、shell_exec、system、passthru、popen、proc_open 等，结合应用需求最小化放行。
• 强化进程与权限：FPM 使用 www-data 或更严格的专用用户；listen 套接字设置合适的 owner/group/mode，避免权限过宽。
• 纵深防护：保持系统与 PHP 组件及时更新；仅开放 HTTP/HTTPS/SSH 等必要端口；可叠加 fail2ban/CrowdSec 等防护。
• 安全扩展：可选 Suhosin（需评估与现有扩展的兼容性）。

四 性能与稳定性优化

• 启用 OPcache（建议生产环境开启）：
  • 示例：opcache.enable=1、opcache.memory_consumption=128、opcache.interned_strings_buffer=8、opcache.max_accelerated_files=4000、opcache.revalidate_freq=60
• FPM 进程管理：
  • 动态模式（dynamic）常用参数：pm.max_children、pm.start_servers、pm.min_spare_servers、pm.max_spare_servers；根据内存与并发调优，避免 pm.max_children 过大导致 OOM。
• 资源限制：合理设置 memory_limit、max_execution_time、upload_max_filesize、post_max_size，与业务与反向代理（如 Nginx）的上传限制保持一致。
• 缓存与数据层：引入 Redis/Memcached 做页面/数据缓存，减少数据库压力。
• 调试与生产分离：Xdebug 仅用于开发/调试，生产环境关闭或移除，避免性能急剧下降。

五 故障排查与维护

• 配置语法与连通性：
  • FPM：php-fpm{version} -t；Nginx：nginx -t
  • 检查 FPM 监听与权限：确认 /run/php/php{version}-fpm.sock 存在且 www-data 可访问；如使用 TCP，确认端口未被占用。
• 服务管理：
  • 重启/重载：systemctl restart|reload php{version}-fpm、apache2、nginx
• 日志定位：
  • Web 服务器错误日志（如 /var/log/nginx/error.log）、FPM 日志（如 /var/log/php{version}-fpm.log 与 pool www 的慢日志）、应用日志。
• 快速自检：部署 /var/www/html/info.php（仅内网临时使用），确认 Loaded Configuration File、OPcache、FPM 监听地址等是否正确。