如何通过Ubuntu PHP配置提高安全性

时间：2026-07-14

先说几个核心判断——Ubuntu + PHP 这套组合，用得好的话挺稳，但要是疏忽了配置，风险也不小。很多安全事件追根溯源，其实都是基础设置没做扎实。下面这8个方面，基本覆盖了从系统层到应用层的防护要点，值得逐一过一遍。

1. 保持PHP及系统更新

系统更新这事儿，说实话是安全防护里最基础也最容易被忽略的一环。定期把Ubuntu和PHP升到最新版，很多已知漏洞就能直接堵上。操作也不复杂，一行命令搞定：

sudo apt update && sudo apt upgrade -y
sudo apt install php php-cli php-fpm php-mysql php-curl php-xml php-zip php-gd php-mbstring php-bcmath --only-upgrade

2. 优化PHP.ini核心安全配置

PHP.ini 是安全配置的重头戏，很多风险点都在这里控制。关键参数调整如下：

关闭错误信息泄露：生产环境千万别把错误信息直接抛给用户，那等于把服务器底牌亮给别人看。改成写日志更靠谱。
```
display_errors = Off
log_errors = On
error_log = /var/log/php_errors.log
```
禁用危险函数：eval、exec、system 这些函数，在多数生产环境里根本没出场机会，不如直接禁用，省得被人利用。
```
disable_functions = eval,exec,passthru,shell_exec,system,proc_open,pcntl_exec,escapeshellcmd,base64_decode
```
限制文件上传：上传大小设个合理的上限，比如2M，能挡住不少恶意文件上传的尝试。
```
upload_max_filesize = 2M
post_max_size = 8M
file_uploads = On
```
强化会话安全：会话劫持是老问题，好在几个配置项就能大大降低风险。
```
session.cookie_httponly = On
session.cookie_secure = On
session.gc_maxlifetime = 1440
```
禁用远程代码执行：allow_url_fopen 和 allow_url_include 这两项，除非有明确需要，否则建议统统关闭。
```
allow_url_fopen = Off
allow_url_include = Off
```
限制脚本资源：防止单个脚本把服务器资源吃光，导致其他服务受影响。
```
max_execution_time = 30
max_input_time = 30
memory_limit = 128M
```

3. 配置Web服务器安全

Web服务器是PHP的前端防线，配置得当的话，很多攻击在入户前就被挡下了。

Apache：启用PHP模块，顺便把autoindex这类没啥用的模块关掉。
```
sudo a2enmod php7.x
sudo a2dismod autoindex
sudo systemctl restart apache2
```

Nginx：通过PHP-FPM处理PHP请求，配置好fastcgi参数，确保PHP文件不会被直接解析。

location ~ .php$ {
    include snippets/fastcgi-php.conf;
    fastcgi_pass unix:/var/run/php/php7.x-fpm.sock;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}
sudo systemctl restart nginx

4. 利用安全模块限制进程权限

AppArmor 是Ubuntu自带的强制访问控制模块，能限制PHP进程的访问范围，即使被攻破，想越权操作也没那么容易。

sudo aa-status
sudo nano /etc/apparmor.d/usr.sbin.php-fpm
# 添加限制规则，比如禁止访问 /etc/shadow
deny /etc/shadow rwx,
sudo systemctl reload apparmor

5. 强化会话与身份认证

使用HTTPS加密传输：Let's Encrypt 免费证书足够用了，别让数据在传输过程中裸奔。
```
sudo apt install certbot python3-certbot-apache
sudo certbot --apache -d yourdomain.com
```
安全密码存储：别再用md5了，password_hash() 函数直接支持bcrypt、Argon2，安全省心。
```
$hashed_password = password_hash($_POST['password'], PASSWORD_DEFAULT);
```
实施强密码策略：长度至少12位，大小写字母、数字、特殊字符都得有，这个要求不过分。

6. 监控与审计

日志分析：PHP错误日志和Web服务器日志要定期翻一翻，大量404请求、SQL注入尝试，日志里都有痕迹。

入侵检测：用auditd监控PHP相关目录的文件变动，异常操作一目了然。

sudo apt install auditd
sudo auditctl -w /var/www/html -p wa -k php_files
sudo ausearch -k php_files | aureport -f -i

7. 文件与目录权限管理

权限设置的原则很简单：能不给的权限就别给。目录755、文件644，配置文件直接600，Web服务器用户拥有所有权。

sudo chown -R www-data:www-data /var/www/html
sudo find /var/www/html -type d -exec chmod 755 {} \;
sudo find /var/www/html -type f -exec chmod 644 {} \;
sudo chmod 600 /var/www/html/config.php