PHP服务器安全加固：端口严控与数据防护实战
|
PHP应用常部署在Linux服务器上，端口暴露是攻击者首要探测目标。默认Web服务使用80/443端口，但开发环境或遗留配置可能意外开启22（SSH）、3306（MySQL）、6379（Redis）等高危端口。必须通过系统级防火墙实施最小化开放策略：仅放行业务必需端口，其余一律拒绝。使用ufw命令可快速启用：ufw default deny incoming；ufw allow 443/tcp；ufw enable。同时禁用IPv6若未使用，避免绕过IPv4规则。 PHP自身配置直接影响数据安全边界。php.ini中需严格限制危险函数执行，如disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec。注意该设置无法阻止已编译扩展调用，因此须配合SELinux或AppArmor进行进程级约束。同时关闭display_errors，防止敏感路径、数据库结构等信息泄露；错误统一记录至syslog或独立日志文件，并设置日志权限为640，属主为root:www-data。 数据库连接绝不硬编码于PHP文件中。应将凭证存于Web根目录之外的配置文件（如/etc/php-app/config.php），并确保其权限为600，且Apache/Nginx配置中明确禁止对该路径的HTTP访问。使用PDO时强制启用预处理语句，杜绝拼接SQL；对所有用户输入执行白名单过滤——例如手机号仅允许数字与+/-，邮箱验证RFC标准正则，而非依赖前端JavaScript校验。 上传功能是高频攻击入口。Nginx需在server块中添加client_max_body_size 5m；PHP中设置upload_max_filesize=5M和post_max_size=6M保持一致。关键在于后端校验：检查$_FILES['file']['tmp_name']真实MIME类型（用finfo_file而非$_FILES['type']），限制扩展名白名单（如['jpg','png','pdf']），并重命名文件为UUID+时间戳，存储于非Web可访问目录。上传后立即调用exec('file -b --mime-type ' . escapeshellarg($tmp_path))二次确认。
AI生成结论图，仅供参考 会话安全常被忽视。php.ini中设置session.cookie_httponly=1、session.cookie_secure=1（仅HTTPS传输）、session.use_strict_mode=1（拒绝未初始化会话ID）。避免将敏感数据（如用户角色、余额）存入$_SESSION，改用服务端缓存（如Redis）按需查询。会话ID应在登录成功后彻底销毁旧会话并生成新ID：session_regenerate_id(true)。定期审计不可少。使用lynis工具扫描系统基线，检查PHP版本是否为当前稳定版（如8.2+），淘汰EOL版本；用php-security-checker检测已知漏洞扩展。所有PHP文件权限设为644，目录为755，Web服务器用户仅对uploads、cache等特定目录有写权限。备份脚本需运行于独立低权限账户，备份文件加密存储且不存放于Web路径下。 （编辑：92站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
