Linux里PHP如何安全运行
在 Linux 环境下，PHP 的安全性一直是个老生常谈却又必须重视的话题。说白了，如果配置不当，再漂亮的代码也可能成为攻击者的后花园。那么，到底该怎么让 PHP 在 Linux 上跑得既稳又安全？下面这十条实践，几乎涵盖了从系统层面到代码层面的关键点。 一、把系统和软件更新当作日常 别小看这条基础
一、把系统和软件更新当作日常
别小看这条基础建议。无论是操作系统内核，还是 PHP 自身，每个版本更新都伴随着安全补丁。养成定期执行 apt update && apt upgrade（或对应发行版的命令）的习惯，是堵死已知漏洞最直接的方式。
二、权限给得越少，风险越小
永远别用 root 用户运行 PHP 脚本。给用户和组分配最小必要权限，比如 Web 服务仅能读取静态文件目录，PHP 仅能写入日志或上传目录。曾经见过不少服务器因为权限过于宽松，被攻击者直接写入执行文件——这些悲剧完全可以通过权限控制避免。
三、php.ini 里的安全开关，一个一个拧紧
PHP 的配置文件（php.ini）中有几个关键选项必须调整：
- display_errors = Off：生产环境千万别把错误直接输出到页面上，等于把服务器信息送给攻击者看。
- log_errors = On：错误信息记入日志，方便运维排查。
- error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT：报告所有问题，但排除那些不影响运行的废弃和严格模式提示。
- allow_url_fopen = Off：禁止通过 URL 方式读取远程文件，这条能有效阻断远程文件包含攻击。
- open_basedir：限制 PHP 脚本只能访问指定目录，比如限定在网站根目录下，这样即使有漏洞，攻击者也难以跨目录读取敏感文件。
四、文件上传，防的就是“不怀好意”的文件
上传功能一直是高危区域。除了检查文件类型、大小和扩展名，上传后的目录一定要设置为不可执行（例如在 Nginx 配置中禁用 PHP 解析）。同时，将上传目录放在 Web 根目录之外也是一个好思路。
五、SQL 注入？预处理语句几乎能一劳永逸
别再用字符串拼接的方式来拼 SQL 了。使用 PDO 或 MySQLi 的预处理语句（绑定参数），不仅能提升查询效率，还能彻底隔离用户输入与 SQL 语法。这是防御注入最有效的手段，没有之一。
六、密码处理，别再造轮子了
从 PHP 5.5 起，内置的 password_hash() 和 password_verify() 已经足够好用。它们会自动选用安全的 bcrypt 算法并处理好盐值。请一定抛弃那些简单的 MD5、SHA1 甚至明文存储的做法。
七、XSS 防御，输出转义不能省
对用户输入进行过滤是本能，但输出时的转义才真正拦住 XSS。使用 htmlspecialchars() 或 htmlentities() 将 HTML 标签转义成实体，确保用户提交的内容不会被当作脚本执行。注意第三个参数必须指定正确的字符编码。
八、会话管理，从 ID 到 Cookie 都得安全
定期调用 session_regenerate_id() 更新会话 ID，防止会话固定攻击。同时，设置会话 Cookie 的 httponly 和 secure 属性，前者禁止 Ja vaScript 读取 Cookie（防 XSS 窃取），后者保证仅通过 HTTPS 传输。会话数据存放目录也要限制权限。
九、代码审查，把安全编码养成习惯
再多的安全配置也抵不过代码本身存在漏洞。定期审查代码逻辑，关注用户输入处理、文件操作、执行外部命令等高风险环节。团队里推行安全编码规范，比如统一使用过滤器、禁止动态执行函数等。
十、Web 服务器自身也要硬
无论是 Apache 还是 Nginx，都需要遵循安全最佳实践：开启 HTTPS 并做 HSTS 配置，限制特定目录的访问权限，视情况禁用不必要的模块。Web 服务器作为第一道防线，配置得越严实，PHP 背后的风险就越小。
这些建议看似基础，但每一环都踩中过真实的安全事故。只要踏踏实实地落实下来，你的 PHP 应用就能在 Linux 上跑得既稳当又安心。
火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力，依托字节自研豆包多模态大模型，凭借火山方舟一站式平台，提供模型精调、推理部署、智能应用搭建等全链路服务，结合高性能AI算力，助力各行业快速落地大模型数字化与智能化应用。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
Autodesk Maya 是面向影视、电视、动画和游戏行业的专业三维制作软件，集多边形与 NURBS 建模、角色绑定、关键帧和动作捕捉动画、Bifrost 特效模拟、材质开发及 Arnold 渲染于一体，
AirServer Windows版可把电脑变成AirPlay、Google Cast和Miracast无线投屏接收端，适合会议演示、课堂教学及家庭大屏分享。发送设备通常无需另装客户端，并可同时接收和智能排列多个镜像会话。