Ubuntu PHP-FPM如何提高安全性 - 问答

Ubuntu上的PHP-FPM可以通过多种方式来提高安全性。以下是一些关键的步骤和建议：

1. 进程守护

使用systemd进行进程守护：

在支持systemd的Linux系统上，可以使用systemd进行PHP-FPM进程守护。编辑PHP-FPM systemd配置文件：
```
sudo vi /etc/systemd/system/php-fpm.service
```
在该文件中，添加以下内容：
```
[Unit]
Description=PHP FastCGI Process Manager
After=network.target

[Service]
ExecStart=/usr/local/php/sbin/php-fpm --nodaemonize --fpm-config /usr/local/php/etc/php-fpm.conf

[Install]
WantedBy=multi-user.target
```
上述配置中，ExecStart指定了PHP-FPM的启动命令，--nodaemonize参数表示不使用守护进程模式，--fpm-config参数指定了PHP-FPM的配置文件路径。
使用Supervisor进行进程守护：

除了systemd，还可以使用Supervisor进行PHP-FPM进程守护。安装Supervisor：
```
sudo apt-get install supervisor
```
创建PHP-FPM的Supervisor配置文件：
```
sudo vi /etc/supervisor/conf.d/php-fpm.conf
```
在该文件中，添加以下内容：
```
[program:php-fpm]
command=/usr/local/php/sbin/php-fpm --nodaemonize --fpm-config /usr/local/php/etc/php-fpm.conf
autostart=true
autorestart=true
startretries=3
user=nobody
redirect_stderr=true
```
上述配置中，command指定了PHP-FPM的启动命令，--nodaemonize参数表示不使用守护进程模式，--fpm-config参数指定了PHP-FPM的配置文件路径。

2. 配置防火墙

使用ufw允许必要的端口：

配置防火墙允许SSH和HTTP服务，并定期检查防火墙状态。
```
sudo ufw allow 'Apache Full'
```

3. 限制PHP-FPM的权限

使用特定的用户和用户组运行PHP-FPM：

为每个站点创建一个以不同用户身份运行的不同池，以提高隔离性。例如：

sudo groupadd site1
sudo useradd -g site1 site1

然后在/etc/php5/fpm/pool.d/site1.conf中配置：

[site1]
user = site1
group = site1
listen = /var/run/php5-fpm-site1.sock
listen.owner = www-data
listen.group = www-data
php_admin_value[error_log] = /var/log/php5-fpm-site1.log
php_admin_flag[log_errors] = on
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3
chdir = /

4. 定期更新系统和软件包

使用unattended-upgrades包实现系统的自动更新：

定期手动运行：
```
sudo apt update && sudo apt upgrade
```

5. 配置SELinux或AppArmor

考虑使用SELinux或AppArmor来进一步提高系统的安全性：

限制进程的权限。

6. 审计系统安全性

定期审计系统安全性：

通过查看系统日志、检查系统更新、防火墙设置、系统服务等来审计系统安全性。

通过上述措施，可以显著提高Ubuntu PHP-FPM的安全性，减少遭受网络攻击的风险。请注意，安全性是一个持续的过程，需要不断地监控和更新。

0 赞

0 踩