Debian LAMP应用部署有哪些最佳实践

Debian LAMP 应用部署最佳实践

一 基础架构与环境准备

• 保持系统基线安全与可维护性：执行apt update && apt upgrade，并优先从官方安全源（如security.debian.org）获取更新；为日常运维创建非 root账号并加入sudo，禁用 root 远程登录。启用UFW仅放行必要端口：22/TCP(SSH)、80/TCP(HTTP)、443/TCP(HTTPS)。
• 组件选择与安装：在 Debian 上安装Apache2、MariaDB（Debian 11 起默认替代 MySQL）、PHP及常用扩展（如php-mysql）。示例：sudo apt install apache2 mariadb-server php libapache2-mod-php php-mysql。
• 目录与权限：Web 根目录建议使用**/var/www/yourdomain.com**；部署后将属主设为www-data:www-data，目录权限755、文件权限644，避免使用 777。
• 虚拟主机与模块化：为不同站点创建虚拟主机（/etc/apache2/sites-available/），按需启用模块（如rewrite），并禁用不必要的模块以降低攻击面。

二 安全加固要点

• 数据库安全：运行mysql_secure_installation完成基础加固；遵循最小权限原则创建应用专用数据库与用户，限制来源 IP；如非必要，禁止数据库端口对外访问。
• PHP 安全：在 php.ini 中禁用危险函数（如exec、system、shell_exec、passthru），合理设置上传与请求大小（如upload_max_filesize、post_max_size），仅启用必需扩展。
• Web 服务器安全：关闭目录列表（Options -Indexes），为敏感目录设置访问控制；启用HTTPS并配置强加密套件与 HSTS；减少信息泄露（自定义错误页、隐藏版本信息）。
• 访问控制与入侵防护：使用fail2ban防御暴力破解；通过UFW/iptables最小化暴露面；按需启用AppArmor等强制访问控制机制。
• 审计与合规：定期查看Apache/MySQL日志，使用Lynis等工具进行安全基线扫描与整改。

三 部署流程与上线验证

• 部署与发布：将应用代码同步至站点目录（如**/var/www/yourdomain.com**），设置属主www-data:www-data与权限755/644；使用git或CI/CD流水线实现可回滚发布。
• 虚拟主机与启用站点：创建站点配置（DocumentRoot、ServerName、日志路径、目录权限），使用a2ensite启用并禁用默认站点，执行systemctl reload apache2使配置生效。
• 连通性与功能验证：访问站点首页与关键路径；创建info.php（）验证 PHP 解析与模块加载；删除测试文件。
• 加密与自动化：使用Certbot（python3-certbot-apache）申请并自动部署Let’s Encrypt证书，开启自动续期。

四 性能优化与高可用

• Web 层优化：启用HTTP/2、开启mod_deflate压缩、配置浏览器缓存（Cache-Control/ETag）；合并与压缩静态资源；使用CDN承载静态文件。
• PHP 与 OPcache：启用并调优OPcache（如 opcache.validate_timestamps、opcache.memory_consumption），减少文件 I/O 与解释开销。
• 数据库优化：根据负载调整缓冲池大小、连接数、查询缓存等关键参数；为高频查询建立索引；分离读写为只读副本（如适用）。
• 连接与会话：使用持久连接或连接池；将会话存储至 Redis/Memcached；静态资源使用独立域名以规避 Cookie 影响。
• 监控与容量规划：部署Prometheus + Grafana监控 CPU、内存、连接、QPS、慢查询等指标；设置告警；结合日志分析定位瓶颈。

五 备份恢复与变更管理

• 备份策略：制定覆盖代码、数据库、配置的备份方案；数据库使用mysqldump或物理备份，文件系统采用tar/rsync并结合快照；异地/离线留存。示例：tar -czvf /backup/backup-$(date +%F).tar.gz /var/www/html。
• 恢复演练：定期验证备份的可用性与完整性，在测试环境演练恢复流程，记录RPO/RTO指标并持续改进。
• 变更与回滚：所有变更通过变更单与灰度/蓝绿发布执行；保留最近N个可回滚版本；变更失败可快速回切。
• 安全维护：持续更新系统与应用、修补漏洞；定期审计日志与权限、复核防火墙规则与安全基线。