ThinkPHP在CentOS上的安全性
总体结论
在CentOS上运行ThinkPHP并不存在“天生安全/不安全”的定论，风险主要取决于框架版本、服务器与代码配置以及运维实践。历史版本（尤其是5.x）曾曝出远程代码执行（RCE）、SQL注入等漏洞；若在生产环境开启调试模式、暴露日志/缓存、上传目录可写可执行或存在不安全代码，极易被利用。通过及时更新、关闭调试、最小权限与输入校验等措施，可将风险降至可控范围。
关键安全要点清单
- 框架与依赖
- 及时升级到包含漏洞修复的版本，并定期执行composer update；关注官方安全公告与CVE。
- 运行与错误控制
- 生产环境务必关闭app_debug = false，并在 php.ini 中关闭display_errors = Off，防止敏感信息泄露。
- 目录与权限
- 仅对runtime、upload等必要目录开启写入；上传目录禁止执行脚本；可按“目录755、文件644”的思路设置，Web 服务运行用户与项目目录属主分离。
- 输入与输出
- 使用框架的验证器与查询构造器/参数绑定防SQL注入；模板自动转义防XSS；对接口与表单做严格校验与过滤。
- 文件上传
- 限制类型/大小/后缀，校验 MIME，存储到非Web可直接执行路径，必要时隔离执行与扫描。
- 会话与加密
- 会话驱动使用Redis/文件并开启加密；设置合理过期时间与HttpOnly/Secure等Cookie属性。
- 通信与网络
- 全站启用HTTPS；使用firewalld仅开放80/443等必要端口；对异常来源进行速率限制与访问控制。
- 监控与备份
- 打开与审计访问/错误日志，定期备份代码与数据库，并演练恢复流程。
CentOS+Nginx快速加固示例
- 禁止上传与运行脚本
- 在 Nginx 配置中加入：
- location ~* /(runtime|upload)/(.*).php$ { return 403; }
- 关闭错误显示
- php.ini：display_errors = Off
- 最小权限
- 假设 Web 运行用户为nginx：
- find /var/www/your-app -type d -exec chmod 755 {} ;
- find /var/www/your-app -type f -exec chmod 644 {} ;
- chown -R nginx:nginx /var/www/your-app
- chmod -R 775 /var/www/your-app/runtime /var/www/your-app/public/upload
- 防火墙
- firewall-cmd --permanent --add-service=http
- firewall-cmd --permanent --add-service=https
- firewall-cmd --reload
- 路由兼容（PATH_INFO）
- Nginx 常用 try_files：try_files $uri $uri/ /index.php?$query_string;
- 重启服务
- systemctl reload nginx && systemctl restart php-fpm
常见风险与排查
- 历史漏洞利用：如5.x RCE，务必升级修复；旧版本在未修复前不建议对外网开放。
- 调试与信息泄露：生产环境开启app_debug会暴露路径、配置与堆栈，应立即关闭。
- 日志与缓存遍历：若runtime可访问，攻击者可读取日志/缓存获取敏感信息，需禁止访问并定期清理。
- 上传Getshell：上传目录若可执行脚本或被篡改，易被写入Webshell；应“禁执行+校验+隔离+杀毒+复核”。
