Linux LAMP中PHP安全漏洞防范清单
一 基础架构与运行环境加固
- 保持系统与组件为最新：定期执行系统与安全更新（如 apt update && apt upgrade -y），及时修补 Linux、Apache、MariaDB/MySQL、PHP 的已知漏洞。
- 最小权限与隔离：Web 服务与 PHP-FPM 以非特权用户运行，按站点或应用划分 PHP-FPM 池，避免以 Apache 模块方式运行 PHP 导致脚本继承 Apache 的高权限。
- 网络与端口：启用 UFW 仅放行必要端口（如 22/80/443），数据库默认仅监听 localhost，远程管理通过 SSH 密钥并禁用 root 直登。
- 进程与模块：精简 Apache 加载模块，仅启用必要功能；为关键目录配置访问控制，禁止目录列表。
- 加密传输：部署 Let’s Encrypt 证书启用 HTTPS，强制全站加密与 HSTS。
二 PHP运行时与文件上传安全配置
- 隐藏版本与错误信息：在 php.ini 中关闭版本暴露与页面报错，统一写入安全日志。
- 禁用危险函数与远程包含：限制命令执行、代码执行与远程文件包含能力。
- 上传安全：限制上传大小与类型，上传目录禁止脚本执行，隔离存储与Web可访问路径。
- 会话与权限：会话数据目录置于 Web 根目录之外，使用 session_regenerate_id 防固定；按目录设置 chown/chmod，Web 目录只读、仅上传目录可写且不可执行。
示例 php.ini 关键项（按实际路径与业务调整）：
expose_php = Off
display_errors = Off
log_errors = On
error_log = /var/log/php_errors.log
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,eval
allow_url_fopen = Off
allow_url_include = Off
upload_max_filesize = 2M
post_max_size = 8M
file_uploads = On
upload_tmp_dir = /var/www/uploads_tmp
- 目录与权限建议：
- Web 根目录（如 /var/www/html）：chmod 755，禁止上传脚本执行。
- 上传目录（如 /var/www/uploads）：chown www-data:www-data，权限 750，在该目录配置 Apache/Nginx 禁止脚本执行（如 Nginx 的 location ~ .php$ 不匹配该目录）。
三 应用层漏洞防范要点
- SQL 注入：使用 PDO/MySQLi 预处理语句与参数化查询，禁止字符串拼接；对输入做类型与白名单校验。
- XSS：对输出到 HTML 的数据使用 htmlspecialchars($str, ENT_QUOTES, ‘UTF-8’) 或 htmlentities；必要时配合 strip_tags 做标签白名单。
- CSRF：为敏感表单生成高熵 CSRF Token并校验；配合 SameSite=Strict/Lax Cookie 属性降低跨站滥用风险。
- 文件包含：仅允许白名单包含；使用 basename 剥离路径信息，避免目录遍历；禁用远程包含。
- 反序列化：避免反序列化不可信来源数据；必要时对数据进行签名/加密并在反序列化前进行严格校验。
- 会话安全：登录后 session_regenerate_id；设置合理 lifetime 与 regenerate 策略；对关键操作二次校验（如验证码/二次密码）。
四 数据库与访问控制
- 初始化加固：执行 mysql_secure_installation，设置强 root 密码，删除匿名账户与测试库，限制 root 远程登录。
- 最小权限：数据库账户遵循最小权限原则，按库/表/列授权；仅允许应用账户从 localhost 或受控网段连接。
- 网络与账户：禁止公网直连数据库；为管理口设置专用通道或 SSH 隧道；定期审计用户与权限。
五 运维监控与响应
- 日志与告警：开启 Apache/PHP/MySQL 访问与错误日志，集中到受控目录；对异常（如多次登录失败、上传异常、命令执行失败）设置实时告警。
- 安全基线：使用 WAF（如 ModSecurity）作为纵深防御；启用 SELinux/AppArmor 限制进程与文件访问能力。
- 备份与演练：定期备份（含配置与代码），验证可恢复性；制定应急响应预案与变更流程，减少人为失误。
- 持续更新：框架与第三方依赖保持及时升级，关注安全通告与 CVE；定期做漏洞扫描与代码审计。