PHP在Debian上如何进行安全加固

PHP在Debian上的安全加固清单

一 系统与基础防护

• 保持系统与PHP为最新稳定版本，优先使用PHP 8.x分支的安全修复版本，及时执行系统与安全更新。
• 配置最小暴露面：仅开放必要端口（如80/443/SSH），使用UFW/iptables限制入站流量，数据库端口（如3306）仅监听本地或内网。
• 强化SSH：禁用root远程登录，使用SSH密钥认证，禁用空密码。
• 关闭不必要的服务与端口，减少攻击面。
• 启用自动安全更新：安装并配置unattended-upgrades，确保及时获取安全补丁。

二 PHP运行时关键配置

• 隐藏敏感信息：设置display_errors = Off、expose_php = Off，将错误写入日志而非展示给终端用户。
• 禁用危险函数：通过disable_functions禁用如exec、shell_exec、system、passthru、popen、proc_open等高危函数（按应用需求精简）。
• 限制文件与协议访问：使用open_basedir限制脚本可访问目录；如无远程包含需求，关闭allow_url_fopen与allow_url_include。
• 会话与Cookie安全：启用session.use_only_cookies = On，设置session.cookie_httponly = On、session.cookie_secure = On（仅HTTPS），禁止session.use_trans_sid（不在URL中传递SID）。
• 表单与输入：关闭register_globals = Off，避免自动注册全局变量。
• 可选增强：在评估兼容性后，可考虑部署Suhosin等硬化扩展。

三 PHP-FPM与Web服务器安全

• 进程与权限隔离：为PHP-FPM使用独立系统用户与组，禁止以root运行；通过listen.owner/listen.group与listen.mode确保Unix Socket权限安全。
• 执行控制：在**/etc/php//fpm/pool.d/.conf**中仅允许执行必要扩展，例如：
  security.limit_extensions = .php（仅允许.php，避免上传目录被当作脚本执行）
• 请求隔离与资源限制：设置pm.max_children、pm.max_requests，启用request_terminate_timeout，限制单请求内存与执行时间，防范DoS。
• 访问控制：对外仅暴露FastCGI端口或Unix Socket；与Nginx/Apache配合，使用try_files或mod_security/OWASP CRS等WAF策略减少通用攻击。
• 传输安全：为网站启用HTTPS/TLS，强制HTTP→HTTPS跳转，保护会话与敏感数据。

四 应用与运维安全实践

• 输入与输出安全：对所有用户输入进行严格校验与过滤；输出使用htmlspecialchars等进行转义，防范SQL注入、XSS、CSRF。
• 身份认证与会话：使用bcrypt/argon2等强哈希存储口令；启用CSRF令牌与会话固定保护。
• 数据库安全：使用参数化查询/预处理语句杜绝SQL注入；数据库凭证最小权限、仅内网访问，必要时启用SSL/TLS连接。
• 日志与监控：开启并集中PHP-FPM与Web服务日志，定期审计异常；部署fail2ban等工具自动封禁暴力尝试；结合Nagios/Zabbix进行可用性监控。
• 备份与变更管理：定期备份代码与数据库，变更前在测试环境验证，回滚方案就绪。

五 快速检查清单与常用命令

• 更新与加固基础
  • sudo apt update && sudo apt full-upgrade -y
  • sudo apt install unattended-upgrades -y && sudo dpkg-reconfigure unattended-upgrades
  • sudo ufw allow 80,443,22/tcp && sudo ufw enable
• PHP-FPM最小执行权限示例（/etc/php/*/fpm/pool.d/www.conf）
  • security.limit_extensions = .php
  • listen.owner = www-data
  • listen.group = www-data
  • listen.mode = 0660
• 常用安全配置（/etc/php/*/php.ini）
  • display_errors = Off
  • expose_php = Off
  • register_globals = Off
  • open_basedir = /var/www/:/tmp/
  • allow_url_fopen = Off
  • allow_url_include = Off
  • session.use_only_cookies = On
  • session.cookie_httponly = On
  • session.cookie_secure = On
  • disable_functions = exec,shell_exec,system,passthru,popen,proc_open
• 重启服务
  • sudo systemctl restart php*-fpm
  • sudo systemctl reload apache2 或 sudo systemctl reload nginx

提示：修改配置前先备份原始文件；每次变更后进行功能回归与日志核验，确保不会引入可用性风险。