如何在Linux上安全配置PHP

在Linux环境下部署PHP应用时，安全配置是确保系统稳定运行的关键环节。许多看似微小的疏忽——例如保留PHP版本信息或启用错误显示——都可能为攻击者提供可乘之机。以下配置指南从PHP本身、Web服务器、系统权限、会话管理及辅助措施等多个维度，逐一排查并修复潜在风险点。建议将本文作为检查清单逐项核对，而非仅作概要浏览。

一、PHP配置文件安全优化

1. 禁用信息泄露

• 关闭PHP版本暴露：在php.ini中设置expose_php = Off。此操作可阻止HTTP头部泄露PHP版本号，避免攻击者利用已知漏洞针对特定版本发起攻击。
• 限制错误显示：生产环境必须将display_errors = Off，防止数据库结构、文件路径等敏感信息直接暴露给用户；同时开启log_errors = On，将错误日志记录至安全目录（如/var/log/php_errors.log），便于后续排查且不对外暴露。

2. 禁用危险函数与模块

• 禁用危险函数：通过disable_functions参数彻底封禁可能被滥用的函数，例如eval（代码执行）、system、exec、shell_exec、passthru（系统命令执行）、curl_exec（远程请求）、popen（管道操作）。典型配置示例：disable_functions = eval,system,exec,shell_exec,passthru,curl_exec。需注意部分框架或工具可能依赖其中个别函数，请结合实际需求调整。
• 精简PHP模块：执行php -m查看当前加载模块，移除不需要的模块（如sqlite3、gd——若无需图片处理），模块越少，攻击面越小。

3. 限制文件上传

• 约束上传参数：设置upload_max_filesize = 2M（单个文件最大大小）、post_max_size = 8M（需大于上传大小）、max_file_uploads = 5（单次请求最多文件数），有效防范大文件上传导致的拒绝服务攻击。
• 验证上传文件：在应用层通过mime_content_type检查文件类型、限制扩展名（如仅允许.jpg、.png），并将上传目录设置为不可执行。例如chmod 755 /var/www/html/uploads，同时移除该目录的PHP执行权限，即使恶意脚本被上传也无法运行。

二、Web服务器配置加固

1. 正确处理PHP请求

• Apache：在站点配置文件中，通过块将PHP请求转发至PHP-FPM。示例：SetHandler "proxy:unix:/var/run/php/php8.1-fpm.sock|fcgi://localhost"，sock路径需与PHP-FPM的listen参数一致。
• Nginx：添加类似配置块：location ~ .php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/var/run/php/php8.1-fpm.sock; }，同样需匹配PHP-FPM的监听方式。

2. 禁用敏感目录解析

• 禁止访问隐藏文件：以.开头的文件（如.htaccess、.env）常包含数据库密码或配置密钥，必须拒绝外部访问。Nginx中配置：location ~ /\. { deny all; }；Apache中配置： Deny from all 。
• 关闭上传目录PHP解析：上传目录（如/var/www/html/uploads）禁止PHP脚本执行。Nginx示例：location ~* ^/uploads/.*.php$ { deny all; }。

三、系统与权限管理

1. 控制Web服务器用户权限

• 使用非root用户：Apache/Nginx应以www-data、nginx等普通用户身份运行，严禁使用root。若恶意代码被执行，普通用户权限可大幅限制破坏范围。执行ps aux | grep apache或ps aux | grep nginx可快速检查当前运行用户。
• 设置合理文件权限：PHP文件统一设置为644（所有者可读写，组和其他用户只读），目录设置为755。具体命令：sudo chmod -R 644 /var/www/html/*.php、sudo chmod -R 755 /var/www/html；所有权授予Web用户，如sudo chown -R www-data:www-data /var/www/html。

2. 隔离脚本执行环境

• 配置open_basedir：在php.ini中设置open_basedir = /var/www/html:/tmp，限制PHP脚本仅能访问指定目录，无法越界读取/etc、/root等敏感位置。多个目录用冒号分隔。

四、会话与数据安全

1. 强化会话管理

• 设置HttpOnly与Secure标志：在php.ini中开启session.cookie_httponly = On（防止JavaScript通过document.cookie窃取会话ID）、session.cookie_secure = On（仅通过HTTPS传输会话cookie，避免中间人截获）。
• 限制会话生命周期：设置session.gc_maxlifetime = 1440（24分钟），并在用户登录成功后调用session_regenerate_id(true)重新生成会话ID，有效防御会话固定攻击。

2. 加密数据传输

• 强制使用HTTPS：在Web服务器层面启用SSL/TLS（Nginx的listen 443 ssl;、Apache的SSLEngine on）；同时在应用中主动检查$_SERVER['HTTPS']，若非HTTPS则强制跳转，示例：if ($_SERVER['HTTPS'] !== 'on') { header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']); exit; }。

五、其他安全措施

1. 定期更新维护

• 更新PHP及依赖：定期通过包管理器更新PHP至最新稳定版（Ubuntu下sudo apt update && sudo apt upgrade php*），及时修复已知漏洞。
• 审计代码与日志：定期检查PHP代码中是否存在危险函数调用（如grep -r "eval(" /var/www/html），同时监控系统日志（/var/log/syslog、/var/log/php_errors.log），发现大量404请求或可疑上传文件时及时响应。

2. 使用安全模块

• 启用防火墙：通过ufw（Ubuntu）或firewalld（CentOS）限制访问，仅开放80和443端口：sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw enable。
• 部署WAF：考虑安装Web应用防火墙如mod_security（Apache），过滤SQL注入、XSS等恶意请求。CentOS示例：sudo yum install mod_security、sudo systemctl enable mod_security、sudo systemctl start mod_security。