CentOS 上提升 PHP 安全性的可执行清单

说到 CentOS 上的 PHP 安全，很多人第一反应是装个防火墙、改个配置就完事了。但真正有效的安全防线，需要从系统底层、运行时配置、Web 服务、应用层到运维监控，形成一个完整的闭环。下面这份清单，就是基于这个思路梳理出来的——每条都有明确的执行动作，按顺序走下来，基本能把大部分常见风险堵在门外。

一 系统与网络基线

首先是基础层面的加固。保持系统和软件包为最新这个动作，虽然老生常谈，但确实是漏洞修复的第一道门槛。没什么技术含量，定期执行 sudo yum update 就行。

网络层面，只开放必要端口，用 Firewalld 做精细化管理。安装并启动它：sudo yum install firewalld && sudo systemctl start firewalld && sudo systemctl enable firewalld。然后放行 HTTP 和 HTTPS——按端口来就是 sudo firewall-cmd --zone=public --add-port=80/tcp --permanent && sudo firewall-cmd --zone=public --add-port=443/tcp --permanent，按服务来也行：sudo firewall-cmd --permanent --zone=public --add-service=http && sudo firewall-cmd --permanent --zone=public --add-service=https。最后重载规则：sudo firewall-cmd --reload。

SELinux 建议启用强制模式，提供进程和文件的强制访问控制。临时生效用 sudo setenforce 1，永久生效则编辑 /etc/selinux/config，设置 SELINUX=enforcing。

SSH 加固也不能忽略：禁用 root 直接登录，优先使用密钥认证。编辑 /etc/ssh/sshd_config，把 PermitRootLogin 设为 no，然后重启 sshd。另外部署 Fail2Ban 来监控暴力登录并自动封禁，能显著降低爆破风险。

二 PHP 运行时安全配置

PHP 自己的配置是重中之重。编辑 php.ini（路径可能因 SAPI 和发行版不同，常见于 /etc/php.ini 或 /etc/php.d/*.ini），按下面几个维度进行调整。

错误处理：关闭错误显示，开启日志记录。设置 display_errors = Off，log_errors = On，指定 error_log = /var/log/php_errors.log（确保目录和文件能被 Web 服务运行用户写入）。

文件与命令执行：限制危险函数范围，根据应用最小化放开。disable_functions 中建议包含：exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,dl,ini_alter,ini_restore,syslog,readlink,symlink,stream_socket_server,fsockopen,phpinfo。同时用 open_basedir 做目录访问隔离，比如 open_basedir = /var/www/html:/tmp，按实际站点根目录调整。

上传与会话：上传文件大小限制为 upload_max_filesize = 2M，post_max_size = 8M（按业务适度调整）。会话安全方面，设置 session.cookie_httponly = On，session.cookie_secure = On（启用 HTTPS 时），以及 session.use_strict_mode = 1。

资源与执行控制：限制脚本执行时间 max_execution_time = 30，内存 memory_limit = 128M，POST 大小和上传限制匹配。关闭远程包含：allow_url_fopen = Off，allow_url_include = Off。

如果使用 PHP‑FPM（常见于 Nginx 或高并发场景），还要进一步做进程和监听权限最小化。编辑 /etc/php-fpm.d/www.conf，设置 user = apache、group = apache，以及 listen.owner = apache、listen.group = apache。更精细的做法是按虚拟主机或目录设置 open_basedir 和 php_admin_value，实现细粒度隔离。

三 Web 服务器与加密通信

HTTPS/ TLS 是必须的。安装 mod_ssl：sudo yum install mod_ssl，然后在 /etc/httpd/conf.d/ssl.conf 中配置证书文件路径（SSLCertificateFile）和密钥文件路径（SSLCertificateKeyFile），重启服务：sudo systemctl restart httpd。

协议和加密套件要用强的：禁用 SSLv3、TLS 1.0、TLS 1.1，优先 TLS 1.2 和 1.3。同时开启 HSTS，例如添加 Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"。

静态资源和上传目录要禁止脚本执行。比如在 Nginx 配置中，对 /uploads/、/static/ 等目录设置 location ~ \.php$ { deny all; }。

四 应用与数据库安全

应用层的安全靠代码习惯。对所有用户输入进行校验和清理，输出到页面时做 HTML 实体编码，降低 XSS 风险。SQL 注入的根治方法是使用参数化查询/预处理语句（PDO 或 MySQLi 的预处理），避免拼接 SQL。

数据库账户权限要最小化：为应用创建专用的低权限数据库账户，别用 root，按库/表授予所需权限。文件上传方面，只允许白名单扩展名和 MIME 类型，限制大小，把文件存储在 Web 根目录之外，重命名上传文件，必要时用 getimagesize 对图片做二次校验，下载时设置为下载而非执行。

五 运维监控与备份

日志和审计不能缺。确保 error_log 正常写入并定期审计，用 logrotate 管理日志轮转和保留，避免日志过大导致信息泄露。启用系统日志和审计（如 rsyslog/auditd）收集关键事件。

入侵防护方面，Fail2Ban 不仅能防 SSH，也可以监控 HTTP 日志，自动封禁恶意 IP。

备份与恢复是最后的防线。定期备份站点代码和数据库，并做离线/异地保存和恢复演练。文件备份示例：rsync -a vz --delete /var/www/html/ /backup/website_backup/。数据库备份示例：mysqldump -u[用户] -p[密码] [库名] | gzip > /backup/website_backup.sql.gz。

最后一点是持续更新和复查。保持 PHP、Web 服务器、框架和依赖库为最新版本，定期复核安全配置基线。安全不是一次性的事，而是一个需要不断关注的过程。