centos php安全设置有哪些

CentOS系统PHP安全设置指南

1. 系统及PHP基础安全

• 更新系统与PHP：定期运行sudo yum update更新CentOS系统和PHP至最新版本，修复已知安全漏洞。
• 安装必要安全组件：添加EPEL仓库并安装基础安全扩展（如php-mcrypt（若版本支持）、php-gd、php-mbstring、php-bcmath），增强PHP功能与安全性。

2. Web服务器配置

• 防火墙限制访问：使用firewalld仅开放HTTP（80端口）、HTTPS（443端口），阻止非法IP访问：

  sudo firewall-cmd --permanent --zone=public --add-service=http
  sudo firewall-cmd --permanent --zone=public --add-service=https
  sudo firewall-cmd --reload
  

• 启用HTTPS加密：安装mod_ssl模块，配置SSL证书（如Let’s Encrypt），强制网站使用HTTPS传输数据，防止流量被窃听。

3. PHP核心配置（php.ini）

• 禁用危险函数：在php.ini中添加disable_functions指令，禁用可能被滥用的函数（如eval、exec、shell_exec、system、curl_exec、popen等），防止命令注入攻击。
• 优化错误处理：关闭详细错误显示（避免泄露服务器路径、数据库结构等敏感信息），开启错误日志记录：

  display_errors = Off
  log_errors = On
  error_log = /var/log/php_errors.log
  

• 限制文件上传：设置合理的上传文件大小（如upload_max_filesize = 2M、post_max_size = 8M），防止大文件上传导致拒绝服务（DoS）攻击；建议添加文件类型验证（如仅允许图片、文档格式）。
• 强化会话安全：配置会话Cookie属性，防止会话劫持与CSRF攻击：

  session.cookie_secure = On  # 仅通过HTTPS传输Cookie
  session.cookie_httponly = On  # 禁止JavaScript访问Cookie
  session.cookie_samesite = Strict  # 限制跨站请求携带Cookie
  session.gc_maxlifetime = 1440  # 会话有效期（分钟）
  

• 禁用高危特性：关闭allow_url_fopen（防止通过URL访问远程文件）、allow_url_include（防止远程文件包含漏洞）；根据需求设置open_basedir（限制PHP脚本可访问的目录，如open_basedir = /var/www/html:/tmp）。

4. PHP-FPM安全配置（若使用）

• 调整用户/组权限：修改/etc/php-fpm.d/www.conf，将PHP-FPM进程运行用户/组设置为非root（如apache或nginx），降低权限滥用风险：

  user = apache
  group = apache
  

• 限制监听方式：建议使用Unix Socket替代TCP端口（如listen = /run/php-fpm/www.sock），减少网络暴露风险；若必须使用TCP，需绑定127.0.0.1并设置防火墙规则。

5. 安全模块增强

• 安装ModSecurity：ModSecurity是一款开源Web应用防火墙（WAF），可拦截SQL注入、XSS、CSRF等常见攻击。安装并启用：

  sudo yum install mod_security
  sudo systemctl enable mod_security
  sudo systemctl start mod_security
  

• 使用PHP安全策略：安装php-policies扩展，通过策略文件限制PHP函数调用、文件访问等行为，进一步提升安全性。

6. 数据库安全

• 使用预处理语句：无论使用MySQLi还是PDO，均应采用预处理语句防止SQL注入（如$stmt->prepare("SELECT * FROM users WHERE id = ?")）。
• 限制数据库权限：创建专用数据库用户，仅授予必要权限（如SELECT、INSERT），避免使用root用户连接数据库。

7. 其他安全措施

• 配置SELinux：将SELinux设置为Enforcing模式（sudo setenforce 1），并通过semanage命令配置PHP相关策略（如允许Apache访问/var/www/html目录），增强系统级安全。
• 设置文件权限：确保PHP文件/目录权限合理（如sudo chmod -R 755 /var/www/html、sudo chown -R apache:apache /var/www/html），防止未授权访问。
• 定期备份数据：定期备份网站文件（如/var/www/html）与数据库（如使用mysqldump），避免数据丢失或泄露。
• 监控与日志分析：使用Fail2Ban监控登录尝试（如SSH、FTP），自动封禁恶意IP；定期检查/var/log/php_errors.log、Web服务器日志，发现异常行为及时处理。