Ubuntu上PHP安全设置怎么做

在Ubuntu系统上进行PHP安全设置是非常重要的，以下是一些关键步骤和最佳实践：

设置目录权限

确保PHP运行目录的权限设置正确。通常，这些目录应该属于 www-data 用户和用户组。

sudo chown -R www-data:www-data /path/to/your/php/project
sudo chgrp -R www-data storage bootstrap/cache
sudo chmod -R ugrwx storage bootstrap/cache

禁用不必要的PHP模块

减少PHP内置模块以提升性能和安全性。可以通过删除或重命名相应的配置文件来禁用不需要的模块。例如，要禁用 sqlite3 模块，可以删除或重命名 /etc/php.d/sqlite3.ini 文件。

配置php.ini

在 /etc/php.ini 中进行以下配置：

• 屏蔽错误输出：display_errors Off，并将错误日志写入日志文件中。
• 禁止显示PHP版本：expose_php Off，避免在错误页面或响应头中显示PHP版本信息。
• 关闭全局变量：register_globals Off，以防止表单提交的数据被自动注册为全局变量。
• 限制文件上传：upload_max_filesize 和 post_max_size 来限制上传文件的大小。
• 限制文件系统访问：使用 open_basedir 指令来限制PHP可以访问的系统目录。
• 禁止远程资源访问：allow_url_fopen Off 和 allow_url_include Off。

配置Apache或Nginx

Apache

使用 mod_security 和 mod_evasive 等模块来防止攻击。

Nginx

在配置文件中禁用不必要的PHP脚本，例如：

location /(uploads|assets)/.*\.(php|php5|jsp) {
    deny all;
}

使用安全扩展

安装并配置 Uhinzi 扩展，它提供了多种保护措施，包括防止缓冲区溢出和格式化串的弱点。

定期更新和维护

定期更新Apache和PHP到最新版本，并订阅安全公告，及时应用安全补丁。

sudo apt update
sudo apt upgrade

防火墙和用户管理

使用 UFW 防火墙限制访问，禁用root用户直接访问，创建新用户并赋予适当权限。

sudo ufw allow 22/tcp # 允许SSH
sudo ufw allow 80/tcp # 允许HTTP
sudo ufw allow 443/tcp # 允许HTTPS
sudo ufw enable

输入验证和输出转义

在PHP代码中使用输入验证和输出转义来防止SQL注入和XSS攻击。

监控和日志记录

启用并监控访问日志和错误日志，使用入侵检测系统(IDS)监控可疑活动。

使用SSL/TLS加密

通过SSL/TLS加密所有传输数据，使用强密码策略和认证机制保护敏感区域。

# 安装Certbot
sudo apt install certbot python3-certbot-apache
sudo certbot --apache

通过上述步骤，可以显著提高Ubuntu系统上PHP运行环境的安全性。请根据您的具体环境和需求调整配置，并定期检查和更新安全设置。