php-fpm在Ubuntu中的最佳实践

Ubuntu 上部署与优化 PHP-FPM 的最佳实践

一 安装与基础配置

• 保持系统更新并安装所需组件（以 PHP 8.1 为例，其他版本替换版本号即可）：
  • sudo apt update && sudo apt upgrade
  • sudo apt install php-fpm php-mysql
• 确认服务状态与开机自启：
  • sudo systemctl status php8.1-fpm
  • sudo systemctl enable php8.1-fpm
• 主配置与进程池配置路径：
  • 主配置：/etc/php/8.1/fpm/php-fpm.conf
  • 进程池：/etc/php/8.1/fpm/pool.d/www.conf
  • PHP 配置：/etc/php/8.1/fpm/php.ini
• 建议以非 root 运行（如 www-data），并采用 Unix 套接字 与 Web 服务器通信（性能更好、权限更可控）。

二 进程管理与性能调优

• 进程管理策略选择：
  • dynamic：按负载动态增减，通用首选。
  • ondemand：按需启动，适合低并发/突发场景。
  • static：固定进程数，适合稳定高负载。
• 关键参数示例（需结合内存与并发实测微调）：
  • pm = dynamic
  • pm.max_children = 50
  • pm.start_servers = 5
  • pm.min_spare_servers = 5
  • pm.max_spare_servers = 35
  • pm.max_requests = 500（进程回收防内存泄漏）
• 请求与资源限制：
  • request_terminate_timeout = 30s（脚本最大执行时间）
  • slowlog_timeout = 30s（慢请求记录阈值）
  • rlimit_files = 1024（文件描述符上限）
• PHP 运行时参数（php.ini）：
  • memory_limit = 256M
  • max_execution_time = 30
  • post_max_size = 50M
  • upload_max_filesize = 50M
• 启用并优化 OPcache（生产环境强烈建议）：
  • opcache.enable=1
  • opcache.memory_consumption=128
  • opcache.interned_strings_buffer=8
  • opcache.max_accelerated_files=4000
  • opcache.revalidate_freq=60
• 变更生效方式：
  • 平滑重载：sudo systemctl reload php8.1-fpm
  • 重启：sudo systemctl restart php8.1-fpm。

三 与 Web 服务器集成

• Nginx 示例（确保 fastcgi_param SCRIPT_FILENAME 正确指向实际文件路径）：
  • location ~ .php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php8.1-fpm.sock; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; }
• Apache 示例（启用 proxy_fcgi 后）：
  • <FilesMatch .php$> SetHandler “proxy:unix:/run/php/php8.1-fpm.sock|fcgi://localhost”
• 静态资源由 Web 服务器直接处理，减少 PHP-FPM 压力。

四 安全加固要点

• 运行身份与权限：
  • 使用非 root（如 www-data），并确保运行用户与网站目录权限匹配。
• 监听与网络：
  • 优先使用 Unix 套接字；若用 TCP，绑定 127.0.0.1:9000 并限制来源。
• PHP 安全配置（php.ini）：
  • display_errors = Off（生产环境关闭显示错误）
  • error_reporting = E_ALL & ~E_NOTICE & ~E_DEPRECATED & ~E_STRICT
  • memory_limit、upload_max_filesize、post_max_size 按需收紧
  • disable_functions = exec,system,passthru,shell_exec,proc_open,eval（按应用需求调整）
• 防火墙与访问控制：
  • 仅开放必要端口（如 80/443）：sudo ufw allow ‘Nginx Full’
• 系统与内核加固（可选）：
  • 启用 AppArmor/SELinux 并配置相应策略，限制 PHP-FPM 与 Web 目录访问边界。

五 监控 日志与维护

• 日志与排错：
  • 检查 PHP-FPM 错误日志与慢日志（如 /var/log/php8.1-fpm.log），开启 catch_workers_output = yes 便于定位子进程输出问题。
• 运行状态与指标：
  • 配置并访问 php-fpm status 页面，结合 Prometheus + php-fpm-exporter + Grafana 做可视化监控与告警。
• 常规维护：
  • 定期更新系统与 PHP 版本，订阅安全公告；结合 htop/vmstat/iostat 观察资源瓶颈并持续调优。