PHP-FPM 在 Linux 上的安全设置，是一个老生常谈但又常被忽略的话题。很多新手把服务跑起来就觉得万事大吉，结果漏洞频出。

下面就把几个关键点拆开来看，看看怎么把 PHP-FPM 的安全防线扎扎实实地建起来。

最核心的安全思路

• 最小化进程权限
• 限制 PHP-FPM 通信访问范围
• 禁用危险功能与函数
• 严格控制目录和文件权限
• 做好日志监控、网络隔离与定期审计

1. 最小化进程权限

第一步，也是最基础的一步：确保 PHP-FPM 进程不是以 root 用户运行。

使用 www-data 这类非特权用户，可以大大降低权限被滥用的风险。具体操作是在配置文件里设置以下内容。路径通常是 /etc/php/{version}/fpm/pool.d/www.conf 或 /etc/php-fpm.d/www.conf：

user = www-data
group = www-data

如果使用的是 Unix socket 通信，那么 socket 文件的归属和权限也要同时设置好：

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

修改完成后，别忘了重启服务：sudo systemctl restart php{version}-fpm。

2. 限制通信访问

• 优先使用 Unix socket，而不是 TCP 端口。因为 Unix socket 只允许本机进程访问，可以从源头减少远程攻击面。

  把 listen 指令改成这样：

  listen = /run/php/php{version}-fpm.sock

• 如果必须使用 TCP 端口，至少要把 listen 设为 127.0.0.1:9000，只绑定本地回环地址。

  然后通过防火墙，比如 ufw，进一步限制访问：

  sudo ufw allow from 192.168.1.0/24 to any port 9000
  # 仅允许可信IP段
  sudo ufw enable

3. 禁用危险功能与函数

• 高危 PHP 函数一定要禁掉。在 www.conf 里通过 disable_functions 指令，禁用那些能够执行系统命令的函数：

  disable_functions = exec,shell_exec,system,passthru,curl_exec,fopen,file_put_contents

• 远程文件包含和打开 URL 的功能也要关闭，防止恶意代码远程执行。在 php.ini 里设置：

  allow_url_fopen = Off
  allow_url_include = Off

• 不要让 PHP 暴露自己的版本号。把 expose_php 设为 Off，减少被针对性攻击的可能：

  expose_php = Off

4. 配置文件与目录权限

• Web 根目录的权限要控制好。确保只有 Web 服务器用户具备必要权限，避免其他用户随意修改：

  sudo chown -R www-data:www-data /var/www/html
  sudo find /var/www/html -type d -exec chmod 755 {} ;
  sudo find /var/www/html -type f -exec chmod 644 {} ;

• 上传目录最好单独放置，尽量放在 Web 根目录之外，比如 /var/uploads。

  同时，要禁止该目录中的脚本执行：

  sudo mkdir /var/uploads
  sudo chown www-data:www-data /var/uploads
  sudo chmod 755 /var/uploads

  然后在 Web 服务器配置里增加规则，确保上传目录中的 PHP 文件不会被执行：

  location ~* ^/uploads/.*.php$ {
      deny all;
  }

5. 错误处理与日志监控

• 错误信息不要直接展示给用户。在 php.ini 里把 display_errors 设为 Off，避免数据库凭据、路径等敏感信息泄露。

• 错误日志要集中记录到安全位置，例如 /var/log/php-fpm/error.log，便于后续审计：

  log_errors = On
  error_log = /var/log/php-fpm/error.log

  建议定期检查日志，重点关注异常请求，比如大量 404 错误、可疑的 POST 请求。这些往往是攻击前兆。

6. 使用安全模块增强防护

• 启用 OPcache 不仅可以提升性能，也能减少源代码暴露的风险。在 php.ini 里加入：

  opcache.enable = 1
  opcache.enable_cli = 1
  opcache.memory_consumption = 128
  opcache.interned_strings_buffer = 8
  opcache.max_accelerated_files = 4000
  opcache.revalidate_freq = 60

• 还可以部署 Web 应用防火墙（WAF），比如 ModSecurity，用于过滤 SQL 注入、XSS 等恶意请求，进一步增强防护能力。

7. 防火墙与网络隔离

• 使用 ufw 或 iptables 保护 PHP-FPM 的端口（TCP 9000 或 Unix socket），只允许可信 IP 访问。

• 更进一步，可以把 PHP-FPM 服务器、应用服务器和数据库服务器分开部署。这样即使某一台被攻破，也不至于全盘沦陷，横向渗透的难度会大很多。

8. 定期更新与审计

• 软件包要及时更新，尽快修复已知漏洞：

  sudo apt update && sudo apt upgrade -y

• 定期检查 PHP-FPM 的配置文件，比如 www.conf，确认权限设置和禁用函数列表没有遗漏。

  同时使用 ps 命令监控 PHP-FPM 进程，确认它确实是以 www-data 用户运行的。

9. SELinux/AppArmor配置（可选）

• 如果系统启用了 SELinux，可以使用 setsebool 命令进一步限制 PHP-FPM 的网络访问行为：

  sudo setsebool -P httpd_can_network_connect_db 0
  # 禁止PHP连接数据库（按需调整）
  sudo setsebool -P httpd_enable_homedirs 0
  # 禁止访问用户家目录

• 如果使用 AppArmor，可编辑 PHP-FPM 的配置文件，比如 /etc/apparmor.d/usr.sbin.php-fpm，限制它对系统目录，如 /etc、/root 的访问权限，让进程隔离更彻底。

总结

PHP-FPM 的安全设置，重点不在某一个参数，而在整体防护。

• 进程权限要最小化
• 通信范围要限制到最小
• 危险函数和高风险特性要关闭
• 目录权限、日志监控和防火墙要同步到位
• 更新与审计必须长期坚持

把这些措施落实好，PHP-FPM 在 Linux 上的安全性就能提升一个台阶。