PHP在Linux上如何配置安全

Linux上PHP安全配置清单

一 基础与最小化原则

• 保持系统与PHP版本为最新，及时修补已知漏洞；仅安装必要的扩展，减少攻击面。
• 以最小权限运行服务：Web与PHP-FPM使用非root专用用户（如www-data），并遵循最小权限原则配置目录与文件。
• 对输入进行严格校验与过滤，输出到页面时使用htmlspecialchars转义，启用**CSP（内容安全策略）**降低XSS风险。
• 对数据库访问使用PDO/MySQLi预处理语句防止SQL注入；避免在生产环境暴露调试信息。

二 php.ini关键安全指令

• 定位配置文件：在Web环境创建phpinfo.php，查看Loaded Configuration File；不同SAPI（Apache/Nginx+PHP-FPM/CLI）可能加载不同副本。修改后需重启对应服务。
• 建议生产环境关键指令如下（按实际需求微调）：
  • 错误与日志
    • display_errors = Off
    • log_errors = On
    • error_log = /var/log/php_errors.log
    • error_reporting = E_ALL & ~E_NOTICE & ~E_STRICT & ~E_DEPRECATED
  • 信息泄露与攻击面
    • expose_php = Off
    • allow_url_fopen = Off
    • allow_url_include = Off
  • 危险函数与代码执行
    • disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
  • 文件系统访问
    • open_basedir = /var/www/html:/tmp
  • 会话与Cookie
    • session.cookie_httponly = 1
    • session.cookie_secure = 1（全站HTTPS时启用）
  • 资源与性能（与安全相关）
    • memory_limit = 128M（或按业务调高/调低）
    • max_execution_time = 30
    • opcache.enable=1（性能优化，建议生产开启）
• 说明：如应用确需远程包含/URL fopen，应改用更安全的库并在调用端做严格校验，而非全局放开。

三 Web服务器与PHP-FPM安全

• PHP-FPM（/etc/php/7.x/fpm/pool.d/www.conf）
  • 使用非root运行：listen.owner = www-data；listen.group = www-data
  • 套接字权限最小化：listen.mode = 0660
• Nginx示例（仅处理合法PHP，禁止访问敏感文件）
  • 仅解析.php且限定路径：
    • location ~ .php$ {
      • include snippets/fastcgi-php.conf;
      • fastcgi_pass unix:/var/run/php/php7.x-fpm.sock;
      • fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
      • include fastcgi_params;
    • }
  • 禁止访问版本控制与敏感文件：
    • location ~ /.(ht|git|svn) { deny all; }
  • 全站HTTPS与HSTS（示例）
    • listen 443 ssl; ssl_certificate /path/to/cert.crt; ssl_certificate_key /path/to/key.key;
    • add_header Strict-Transport-Security “max-age=63072000” always;
• Apache建议
  • 禁用目录列表（Options -Indexes），限制.ht*访问，必要时使用mod_security增强WAF能力。

四 文件权限与隔离

• 目录与文件所有权
  • Web根目录与上传目录归属www-data，权限755；上传目录禁止执行（如Nginx location ~* .php$ { deny all; }）。
  • 配置文件、密钥与备份移出Web可访问路径，或设置不可执行与访问控制。
• 访问控制增强
  • 使用open_basedir限制脚本可访问目录（如项目根目录与/tmp）。
  • 启用SELinux或AppArmor为PHP-FPM/Apache提供强制访问控制，降低提权与横向移动风险。

五 运行监控与维护

• 日志与告警
  • 开启PHP错误日志与Web服务访问日志，集中采集并定期审计；对异常状态码、可疑UA、频繁404/403等进行告警。
• 更新与备份
  • 定期执行系统与软件包更新（如apt/yum），并建立应用与数据库的定期备份与恢复演练流程。
• 安全测试与加固
  • 使用OWASP ZAP/Burp Suite进行安全扫描；按需引入WAF/IPS；对外部命令执行采用白名单与严格校验。