如何通过Ubuntu PHP配置提高安全性

先说几个核心判断——Ubuntu + PHP 这套组合，用得好的话挺稳，但要是疏忽了配置，风险也不小。很多安全事件追根溯源，其实都是基础设置没做扎实。下面这8个方面，基本覆盖了从系统层到应用层的防护要点，值得逐一过一遍。

1. 保持PHP及系统更新

系统更新这事儿，说实话是安全防护里最基础也最容易被忽略的一环。定期把Ubuntu和PHP升到最新版，很多已知漏洞就能直接堵上。操作也不复杂，一行命令搞定：

sudo apt update && sudo apt upgrade -y
sudo apt install php php-cli php-fpm php-mysql php-curl php-xml php-zip php-gd php-mbstring php-bcmath --only-upgrade

2. 优化PHP.ini核心安全配置

PHP.ini 是安全配置的重头戏，很多风险点都在这里控制。关键参数调整如下：

• 关闭错误信息泄露：生产环境千万别把错误信息直接抛给用户，那等于把服务器底牌亮给别人看。改成写日志更靠谱。

  display_errors = Off
  log_errors = On
  error_log = /var/log/php_errors.log

• 禁用危险函数：eval、exec、system 这些函数，在多数生产环境里根本没出场机会，不如直接禁用，省得被人利用。

  disable_functions = eval,exec,passthru,shell_exec,system,proc_open,pcntl_exec,escapeshellcmd,base64_decode

• 限制文件上传：上传大小设个合理的上限，比如2M，能挡住不少恶意文件上传的尝试。

  upload_max_filesize = 2M
  post_max_size = 8M
  file_uploads = On

• 强化会话安全：会话劫持是老问题，好在几个配置项就能大大降低风险。

  session.cookie_httponly = On
  session.cookie_secure = On
  session.gc_maxlifetime = 1440

• 禁用远程代码执行：allow_url_fopen 和 allow_url_include 这两项，除非有明确需要，否则建议统统关闭。

  allow_url_fopen = Off
  allow_url_include = Off

• 限制脚本资源：防止单个脚本把服务器资源吃光，导致其他服务受影响。

  max_execution_time = 30
  max_input_time = 30
  memory_limit = 128M

3. 配置Web服务器安全

Web服务器是PHP的前端防线，配置得当的话，很多攻击在入户前就被挡下了。

• Apache：启用PHP模块，顺便把autoindex这类没啥用的模块关掉。

  sudo a2enmod php7.x
  sudo a2dismod autoindex
  sudo systemctl restart apache2

• Nginx：通过PHP-FPM处理PHP请求，配置好fastcgi参数，确保PHP文件不会被直接解析。

  location ~ .php$ {
      include snippets/fastcgi-php.conf;
      fastcgi_pass unix:/var/run/php/php7.x-fpm.sock;
      fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
      include fastcgi_params;
  }
  sudo systemctl restart nginx

4. 利用安全模块限制进程权限

AppArmor 是Ubuntu自带的强制访问控制模块，能限制PHP进程的访问范围，即使被攻破，想越权操作也没那么容易。

sudo aa-status
sudo nano /etc/apparmor.d/usr.sbin.php-fpm
# 添加限制规则，比如禁止访问 /etc/shadow
deny /etc/shadow rwx,
sudo systemctl reload apparmor

5. 强化会话与身份认证

• 使用HTTPS加密传输：Let's Encrypt 免费证书足够用了，别让数据在传输过程中裸奔。

  sudo apt install certbot python3-certbot-apache
  sudo certbot --apache -d yourdomain.com

• 安全密码存储：别再用md5了，password_hash() 函数直接支持bcrypt、Argon2，安全省心。

  $hashed_password = password_hash($_POST['password'], PASSWORD_DEFAULT);

• 实施强密码策略：长度至少12位，大小写字母、数字、特殊字符都得有，这个要求不过分。

6. 监控与审计

• 日志分析：PHP错误日志和Web服务器日志要定期翻一翻，大量404请求、SQL注入尝试，日志里都有痕迹。
• 入侵检测：用auditd监控PHP相关目录的文件变动，异常操作一目了然。

  sudo apt install auditd
  sudo auditctl -w /var/www/html -p wa -k php_files
  sudo ausearch -k php_files | aureport -f -i

7. 文件与目录权限管理

权限设置的原则很简单：能不给的权限就别给。目录755、文件644，配置文件直接600，Web服务器用户拥有所有权。

sudo chown -R www-data:www-data /var/www/html
sudo find /var/www/html -type d -exec chmod 755 {} \;
sudo find /var/www/html -type f -exec chmod 644 {} \;
sudo chmod 600 /var/www/html/config.php

8. 使用安全框架与库

最后说一下，如果能用成熟框架（Lara vel、Symfony之类的），就别自己从头造轮子。这些框架内置了CSRF防护、SQL注入过滤、XSS防御等安全功能，都是经过大量项目验证的，比自己手写的安全很多。