1. 保持PHP及系统更新

把Ubuntu系统和PHP版本维护当成日常工作。尽量定期升级到最新版，第一时间补上已知安全漏洞。

可以通过下面这组命令更新软件包列表，以及系统里已经安装的组件：

sudo apt update && sudo apt upgrade php* -y

2. 优化 PHP 配置文件（php.ini）

通过调整 php.ini 中的关键参数，能够有效降低安全风险。

• 禁用错误泄露：关闭详细错误显示，将错误记录到日志文件，避免暴露敏感信息。

  display_errors = Offlog_errors = Onerror_log = /var/log/php_errors.log

• 限制危险函数：禁用可能被滥用的函数，如eval、exec、system等，防止命令注入。

  disable_functions = eval,exec,system,passthru,shell_exec,proc_open

• 控制文件上传：限制上传文件大小，如2M，防止恶意文件上传攻击。

  file_uploads = Onupload_max_filesize = 2Mpost_max_size = 8M

• 禁用远程资源访问：关闭allow_url_fopen和allow_url_include，防止远程代码执行。

  allow_url_fopen = Offallow_url_include = Off

• 启用OPcache：提高PHP执行效率的同时，减少代码注入风险。

  [opcache]zend_extension=opcache.soopcache.enable=1opcache.memory_consumption=128opcache.interned_strings_buffer=8opcache.max_accelerated_files=4000

3. 配置Web服务器安全

• Apache：启用mod_security（Web应用防火墙）和mod_evasive（防暴力破解），阻止常见攻击，如SQL注入、DDoS。

  sudo apt install libapache2-mod-security2sudo a2enmod security2sudo systemctl restart apache2

• Nginx：通过location指令限制对敏感目录，如uploads，的PHP执行权限。

  location ~ ^/(uploads|assets)/.*.(php|php5|jsp)$ {deny all;}

4. 强化文件与目录权限

确保PHP文件及目录归属正确，并限制访问权限。

sudo chown -R www-data:www-data /var/www/html# 将所有权赋予Web服务器用户sudo chmod -R 755 /var/www/html # 设置目录权限为755（仅所有者可写）sudo chmod 644 /var/www/html/*.php# 设置PHP文件权限为644（仅所有者可写）

5. 使用安全模块增强防护

• AppArmor：通过强制访问控制限制PHP进程权限，防止非法访问系统资源。

  sudo aa-enforce /etc/apparmor.d/usr.sbin.php-fpm# 启用PHP-FPM的AppArmor配置文件

• Fail2Ban：监控日志文件，自动封禁频繁尝试登录的IP地址，防范暴力破解。

  sudo apt install fail2bansudo systemctl enable --now fail2ban

6. 加密与认证安全

• 启用HTTPS：通过Let’s Encrypt免费证书配置SSL/TLS，加密客户端与服务器之间的通信，防止中间人攻击。

  sudo apt install certbot python3-certbot-nginx# 对于Nginxsudo certbot --nginx -d yourdomain.com

• 会话安全：设置会话Cookie的HttpOnly（防止XSS窃取）和Secure（仅HTTPS传输）标志。

  session.cookie_httponly = Onsession.cookie_secure = On

7. 监控与日志管理

• 启用日志记录：确保PHP错误日志、Web服务器访问日志和错误日志已开启，并定期检查异常记录。

• 使用Auditd：监控关键目录，如/var/www/html，的文件访问和修改行为，及时发现可疑操作。

  sudo apt install auditdsudo auditctl -w /var/www/html -p wa -k php_files# 监控写入和属性变更

8. 输入验证与安全编码

• 过滤用户输入：对所有用户输入，如表单、URL参数，进行验证，如检查邮箱格式、长度，并拒绝非法字符。

• 使用预处理语句：通过PDO或MySQLi扩展执行数据库查询，防止SQL注入。

  $stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");$stmt->bindParam(':email', $email);$stmt->execute();$result = $stmt->fetchAll();

9. 限制资源使用

通过php.ini设置脚本执行时间和内存上限，防止资源耗尽攻击。

max_execution_time = 30# 脚本最大执行时间（秒）memory_limit = 128M# 单个脚本最大内存使用量max_input_vars = 1000# 限制POST请求的变量数量

10. 定期审计与维护

• 检查配置一致性：定期审查php.ini、Web服务器配置文件及文件权限，确保未引入新的安全漏洞。

• 备份数据：定期备份网站文件和数据库，防止数据丢失或勒索软件攻击。

《夸克》非常好用的免费AI浏览器

下载APP查看