PHP在Ubuntu上的安全配置怎么做

在Ubuntu上跑PHP应用，安全配置从来不是一劳永逸的事。很多开发者只顾着写功能代码，却忽略了服务器层面的防护，结果被攻击者钻了空子。其实，只要把下面这几个关键环节卡死，就能挡住绝大多数常见威胁。下面我们按步骤来拆解，每一步都对应一个具体的配置动作，照着做就行。

1. 更新系统与PHP至最新版本

保持系统和PHP组件的最新状态，这是性价比最高的安全投入。很多已知漏洞都是在旧版本里被公布的，而更新往往只需要一条命令。

sudo apt update && sudo apt upgrade -y
sudo apt install php php-cli php-fpm php-mysql php-curl php-xml php-zip php-gd php-mbstring php-pear php-bcmath --only-upgrade

2. 配置PHP核心安全参数

编辑PHP配置文件（根据实际运行环境选择cli、apache2或fpm版本，比如/etc/php/8.1/apache2/php.ini），把下面几项改掉，等于给PHP加了几道锁。

• 关闭错误详细显示：别让数据库凭证、路径这些敏感信息直接暴露给终端用户。

  display_errors = Off
  log_errors = On
  error_log = /var/log/php_errors.log

• 禁用危险函数：像eval、exec、system这类函数，一旦被攻击者利用就是灾难，直接禁用掉。

  disable_functions = eval,exec,system,passthru,shell_exec,popen,curl_exec,parse_ini_file,show_source

• 限制文件上传：控制上传大小和类型，别让恶意文件有机可乘。

  upload_max_filesize = 2M
  post_max_size = 8M
  file_uploads = On

• 限制PHP访问目录：用open_basedir把PHP脚本的活动范围圈定在网站根目录和临时目录内。

  open_basedir = /var/www/html:/tmp

• 禁用远程资源访问：关掉allow_url_fopen和allow_url_include，避免远程恶意代码被加载进来。

  allow_url_fopen = Off
  allow_url_include = Off

3. 配置Web服务器安全

Web服务器是直面攻击的第一道防线，隐藏版本信息、禁止目录列表是最基本的操作。

• Apache配置：编辑主配置文件或虚拟主机文件，关闭版本签名和目录列表：

  ServerTokens Prod
  ServerSignature Off
  
      Options -Indexes
  

  然后推荐启用mod_security（Web应用防火墙）和mod_evasive（防暴力破解）：

  sudo a2enmod security2
  sudo a2enmod evasive2
  sudo systemctl restart apache2

• Nginx配置：如果用的是Nginx，需要在配置中隐藏Server头信息（需要安装headers-more-nginx模块）：

  server_tokens off;

4. 强化会话安全管理

会话劫持是常见的攻击手法，通过PHP配置就能大幅提升安全性：

session.cookie_httponly = On  # 禁止Ja vaScript访问会话Cookie
session.cookie_secure = On    # 仅通过HTTPS传输会话Cookie
session.gc_maxlifetime = 1440 # 会话有效期设为1440秒（24分钟）
session.use_strict_mode = On  # 启用严格会话模式，防止会话固定攻击

5. 使用HTTPS加密通信

所有数据在传输过程中都应该加密。用Let's Encrypt获取免费SSL证书，然后强制HTTPS：

sudo apt install certbot python3-certbot-apache -y
sudo certbot --apache -d yourdomain.com -d www.yourdomain.com

证书自动续期可以通过以下命令测试：

sudo certbot renew --dry-run

6. 配置防火墙与入侵防护

• UFW防火墙：只开放SSH（22端口）和Web服务（80/443端口），如果条件允许，SSH最好只允许可信IP访问。

  sudo ufw allow 'Apache Full'  # 允许HTTP/HTTPS
  sudo ufw allow ssh              # 允许SSH
  sudo ufw enable                 # 启用防火墙

• Fail2Ban：自动监控日志，发现暴力破解就封掉恶意IP。

  sudo apt install fail2ban -y
  sudo cp /etc/fail2ban/jail.local /etc/fail2ban/jail.local.bak
  sudo systemctl start fail2ban
  sudo systemctl enable fail2ban

7. 管理文件与目录权限

权限设置不合理等于给攻击者留后门。下面是一组标准的安全权限配置：

sudo chown -R www-data:www-data /var/www/html  # 所有权交给Web服务器用户
sudo chmod -R 755 /var/www/html                # 目录755，所有者可读写执行
sudo find /var/www/html -type f -exec chmod 644 {} \;  # 文件644，所有者可读写

8. 定期安全审计与监控

安全不是一次性的工作，需要持续监控。

• 代码审计：用PHP Security Advisories Checker扫描代码，找找有没有已知漏洞。
• 日志监控：定期翻看PHP错误日志（/var/log/php_errors.log）和Web服务器日志（/var/log/apache2/access.log、/var/log/apache2/error.log），发现异常行为及时处理。
• 入侵检测：用auditd监控关键目录的文件变更，特别是/var/www/html。

  sudo apt install auditd -y
  sudo auditctl -w /var/www/html -p wa -k php_files  # 监控写入和属性变更

9. 使用安全编码实践

代码层面的漏洞比配置漏洞更难修复，但有两个习惯能让你的应用安全一大截：

• 预处理SQL语句：永远用PDO或MySQLi的预处理功能，从源头堵死SQL注入。

  $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
  $stmt->execute(['email' => $email]);
  $user = $stmt->fetch();

• 密码哈希：用password_hash()存储密码，用password_verify()验证，别再用md5了。

  $hashed_password = password_hash($password, PASSWORD_DEFAULT);
  if (password_verify($input_password, $hashed_password)) {
      // 密码匹配
  }

10. 限制PHP-FPM安全设置（若使用PHP-FPM）

如果用的是PHP-FPM，需要编辑池配置文件（/etc/php/8.1/fpm/pool.d/www.conf），把进程权限和资源限制卡死：

listen.owner = www-data
listen.group = www-data
listen.mode = 0660
user = www-data
group = www-data
pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 10

改完别忘了重启PHP-FPM：

sudo systemctl restart php8.1-fpm