centos laravel如何进行安全加固

CentOS 上 Laravel 安全加固清单

一 系统与网络加固

• 保持系统与软件包为最新，及时修补漏洞（如内核、OpenSSL、PHP、Nginx/Apache、数据库）。
• 启用并正确配置 firewalld/iptables，仅开放必要端口（如 22/80/443），对管理口可限制来源 IP。
• 全站启用 HTTPS/TLS（优先 Let’s Encrypt），并在 Web 服务器或反向代理上强制跳转 HTTP→HTTPS。
• 数据库仅监听本地或内网，禁止公网直连；为数据库账户设置强密码并遵循最小权限原则。
• 备份与恢复演练：定期备份代码、配置与数据库，保留多份异地副本，验证可恢复性。

二 Web 服务器与 PHP 配置

• 选择 Nginx/Apache 其一，禁用不必要的模块与默认站点；隐藏版本信息。
• 在 Nginx 配置安全响应头，示例：
  • add_header X-Frame-Options “DENY”;
  • add_header X-Content-Type-Options “nosniff”;
  • add_header X-XSS-Protection “1; mode=block”;
  • 启用 Content-Security-Policy（按站点策略逐步收紧）。
• 正确设置文件权限与属主（示例：目录 0755、文件 0644；运行用户与 Web 服务用户分离；Laravel 目录中仅 storage、bootstrap/cache 可写）。
• PHP 安全要点：关闭 display_errors（仅记录日志）、开启 open_basedir、限制 upload_max_filesize 与 post_max_size、及时更新 PHP 至受支持版本并启用必要扩展（如 BCMath、Ctype、Fileinfo、JSON、Mbstring、OpenSSL、PDO、Tokenizer、XML）。

三 Laravel 应用层安全

• 生产环境务必关闭调试：确保 APP_ENV=production、APP_DEBUG=false；历史上 Laravel ≤8.4.2 在开启 Debug 时存在 Ignition 组件导致的 RCE（CVE-2021-3129） 风险。
• 使用 APP_KEY 并妥善保护；所有敏感配置置于 .env，切勿提交到版本控制；为 APP_URL 配置为 HTTPS。
• 启用并正确使用 CSRF 保护（表单携带 @csrf），对所有用户输入进行验证与清理，输出使用 Blade 自动转义以缓解 XSS。
• 避免原生 SQL 拼接；使用 Eloquent/查询构造器 的参数绑定，若必须使用 whereRaw/selectRaw 务必采用占位符绑定。
• 文件上传：限制类型/大小/后缀，存储于不可执行目录，必要时对文件内容做安全扫描与重命名。
• 会话与 Cookie：启用 HTTPS-only、SameSite 策略，设置合理 lifetime 与 regenerate；对敏感操作使用一次性令牌。
• 安全 HTTP 头：在框架或中间件层补充 CSP、Referrer-Policy、Permissions-Policy 等。
• 依赖管理：定期执行 composer update，移除无用依赖；使用 Dependabot/Snyk 等工具扫描已知漏洞。

四 认证授权与访问控制

• 登录与敏感接口实施 限流，例如 API 使用 throttle:60,1（每分钟 60 次），登录/注册可设置更严格阈值并区分 IP/账号。
• 基于角色的访问控制（RBAC）：按业务划分 角色/权限，遵循最小权限；在控制器或路由层显式校验权限（如 Gate/Policy）。
• 对高敏操作（如改价、提现、删库）引入 审批流 与二次校验（如管理员二次确认、必要审批人授权）。
• 数据可见性过滤：在模型层为查询增加 作用域（scope），确保用户仅能访问被授权的数据集合。
• 可选方案：使用 spatie/laravel-permission 等成熟组件，启用缓存（如 Redis）并规范权限命名与守卫隔离。

五 日志监控与备份恢复

• 启用与轮转日志：配置 Log::channel(‘daily’)->useDailyFiles(…); 与 logrotate，避免日志无限增长；记录关键安全事件（登录成功/失败、权限变更、异常请求）。
• 部署监控与告警：结合 Prometheus/Grafana 或 Zabbix/Nagios 监控进程存活、响应时延、异常 4xx/5xx、磁盘与带宽；对暴力登录、异常上传、权限变更等设定阈值告警。
• 定期演练恢复流程：自动化备份（含 .env 与密钥）、异地存储、恢复演练与校验，确保 RPO/RTO 达标。