LNMP服务器如何提升安全性
LNMP服务器安全加固清单一 系统层加固保持系统与组件更新：定期执行系统包更新（如 yum/apt update），及时修补 Nginx、MySQL/MariaDB、PHP 的漏洞。身份与权限：创建普通用户并授予 sudo，禁用 root 远程登录（/etc/ssh/sshd_config：Perm
LNMP服务器安全加固清单
一 系统层加固
- 保持系统与组件更新：定期执行系统包更新（如 yum/apt update），及时修补 Nginx、MySQL/MariaDB、PHP 的漏洞。
- 身份与权限：创建普通用户并授予 sudo，禁用 root 远程登录（/etc/ssh/sshd_config：PermitRootLogin no），设置强密码策略（长度≥10位，含大小写字母、数字、特殊字符），清理无用账户。
- 登录安全：优先使用SSH 密钥认证，可修改默认端口（如 2222），并启用 Fail2ban 防暴力破解（[sshd] 段：enabled = true，maxretry = 3）。
- 强制访问控制：启用并保持 SELinux 为 Enforcing 模式，按需调整布尔值（如允许 Nginx 连接数据库：setsebool -P httpd_can_network_connect_db 1）。
- 物理与引导安全：禁用不必要外设，设置 BIOS/GRUB 密码，减少物理与引导层风险。
二 网络与防火墙
- 最小化开放端口：仅开放业务所需端口（如 80/443/SSH），数据库端口（如 3306）建议仅内网访问。
- firewalld 示例（CentOS 7+）：
- 启动与开机自启：systemctl start firewalld && systemctl enable firewalld
- 放行 HTTP/HTTPS：firewall-cmd --permanent --add-service=http --add-service=https
- 放行 SSH（示例端口 2222）：firewall-cmd --permanent --add-port=2222/tcp
- 使配置生效：firewall-cmd --reload；验证：firewall-cmd --list-all
- iptables 思路：默认策略 DROP，放行已建立连接（ESTABLISHED,RELATED）、SSH、HTTP/HTTPS，再按需细化规则与保存。
三、Nginx与PHP的安全配置要点
- Nginx 基础安全：
- 隐藏版本：server_tokens off;
- 安全响应头：
- X-Frame-Options “SAMEORIGIN”
- X-Content-Type-Options “nosniff”
- Content-Security-Policy “default-src ‘self’; script-src ‘self’; object-src ‘none’”
- Strict-Transport-Security “max-age=63072000; includeSubDomains; preload”
- 访问与速率限制：
- 并发连接限制：
- limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;
- limit_conn conn_limit_per_ip 10;
- 请求速率限制：
- limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=5r/s;
- 并发连接限制：
- 目录与请求控制：禁用自动索引（autoindex off;），仅允许必要 HTTP 方法（GET/POST/HEAD），按需做 IP 白名单。
- PHP 安全：
- 禁用危险函数：disable_functions = eval,system,exec,passthru,shell_exec,proc_open,proc_get_status,pcntl_exec（按应用需要调整）。
- 错误与日志：生产环境关闭 display_errors，开启 log_errors 写入日志。
- 访问边界：open_basedir 限制脚本可访问目录；上传目录与 PHP 执行目录分离，上传文件禁止执行。
- 资源与执行隔离：使用 php-fpm 池与不同用户运行，限制 upload_max_filesize / post_max_size，必要时用 cgroups/ulimit 限制资源。
四、MySQL/MariaDB数据库安全
- 强口令与账户管理：为所有数据库用户设置复杂且唯一的密码，定期更换。
- 最小权限原则：按库/表/列授予权限，避免使用 root 远程连接应用。
- 加密与访问控制：启用 SSL/TLS 连接，限制来源 IP 与端口访问（数据库端口默认 3306，生产环境建议仅内网开放）。
- 安全基线：删除匿名账户与测试库，限制本地/远程登录方式，定期审计用户与权限。
五 运维监控与备份恢复
- 日志与审计：集中收集并定期审计 Nginx、PHP-FPM、MySQL 日志；使用 Fail2ban、Logwatch/Tripwire 检测异常登录与篡改；必要时引入 ELK/Prometheus+Grafana 做可视化监控与告警。
- 备份与演练：制定定期备份（配置、代码、数据库），保留多份异地副本并定期恢复演练，确保可快速回滚。
- 持续更新与测试：保持 OS/Nginx/MySQL/PHP 及依赖库为最新稳定版；上线前进行安全审计/渗透测试；使用 SSL Labs 测试（目标评分 A/A+）。
Photoshop 2026 是 Adobe 推出的专业图像处理与视觉设计软件，支持 Windows、macOS 和 iPad 等平台，广泛应用于摄影修图、电商设计、平面海报、数字绘画及视觉合成等创作场景。
Blender 是一款免费开源、跨平台的专业 3D 创作软件，集建模、动画、渲染、视频编辑与视觉合成等功能于一体，广泛应用于影视动画、游戏设计和建筑可视化等领域。软件支持 Cycles 物理渲染器与 Eevee 实时渲染引擎，并提供多边形建模、骨骼绑定、物理模拟等专业工具。Blender 兼容 Windows、macOS 和 Linux 系统，安装包轻巧、运行流畅，依托活跃的全球开发者社区持续更新，是从初学者到专业创作者都值得选择的正版 3D 创作工具。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
Photoshop 2026 是 Adobe 推出的专业图像处理与视觉设计软件，支持 Windows、macOS 和 iPad 等平台，广泛应用于摄影修图、电商设计、平面海报、数字绘画及视觉合成等创作场景。
Blender 是一款免费开源、跨平台的专业 3D 创作软件，集建模、动画、渲染、视频编辑与视觉合成等功能于一体，广泛应用于影视动画、游戏设计和建筑可视化等领域。软件支持 Cycles 物理渲染器与 Eevee 实时渲染引擎，并提供多边形建模、骨骼绑定、物理模拟等专业工具。Blender 兼容 Windows、macOS 和 Linux 系统，安装包轻巧、运行流畅，依托活跃的全球开发者社区持续更新，是从初学者到专业创作者都值得选择的正版 3D 创作工具。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。