ubuntu上php如何安全設置

在Ubuntu系統上設置PHP的安全性是非常重要的，以下是一些關鍵的安全設置步驟和最佳實踐：

更新系統和軟件包

確保系統和所有軟件包都是最新的，以修復已知的安全漏洞。

sudo apt update
sudo apt upgrade

安裝和配置Web服務器

安裝并配置Apache或Nginx，并確保使用HTTPS來加密數據傳輸。

對于Apache：

sudo apt install apache2
sudo a2enmod ssl
sudo systemctl restart apache2

對于Nginx：

sudo apt install nginx

配置PHP

編輯PHP的配置文件php.ini，進行以下設置：

• 錯誤報告：在生產環境中，關閉詳細的錯誤報告，只顯示必要的信息。

display_errors Off
log_errors On
error_reporting E_ALL & E_NOTICE & E_DEPRECATED & E_STRICT & E_USER_NOTICE & E_USER_WARNING

• 安全模式：啟用安全模式，并限制可以執行的類。

safe_mode On
safe_mode_allowed_classes "mysqli,pdo_mysql"

• 禁用危險函數：禁用不需要的PHP函數，如exec()，system()等。

disable_functions exec,system,passthru,shell_exec,popen,curl,fsockopen,file_get_contents,mkdir,rmdir,rename,unlink,chmod,chown,chgrp,date,time,localtime,gmtime,isset,empty,is_array,is_object,is_resource,is_string,is_int,is_float,is_bool,is_callable,assert

• 文件系統限制：使用open_basedir限制PHP可以訪問的系統目錄。

open_basedir /var/www/html:/tmp

• 禁止遠程資源訪問：關閉allow_url_fopen和allow_url_include。

allow_url_fopen Off
allow_url_include Off

• 上傳權限：限制文件上傳功能，防止惡意文件上傳。

location /(uploads)/.*\.(php|php5|jsp) {
    deny all;
}

• 使用預編譯擴展：盡量使用預編譯的擴展，而不是從源代碼編譯，以減少潛在的安全風險。

• 限制文件訪問權限：確保你的應用程序文件和目錄具有適當的訪問權限，以防止未經授權的文件訪問。

sudo chown -R www-data:www-data /path/to/your/php/applications
sudo chmod -R 755 /path/to/your/php/application

• 定期檢查和更新：定期檢查并更新你的項目依賴庫，以確保它們沒有已知的安全漏洞。

composer update

使用安全編碼工具

使用諸如PHP Security Advisories Checker(PHPSA)之類的工具來掃描你的代碼，查找潛在的安全問題。

實施額外的安全措施

• 使用強密碼：為用戶和root賬戶設置復雜且難以猜測的密碼。

• 限制root登錄：禁止直接通過SSH登錄root賬戶。

• 安裝防火墻：使用UFW(Uncomplicated Firewall)并配置防火墻規則。

sudo apt install ufw
sudo ufw enable
sudo ufw allow 'Apache Full'

• 使用Fail2ban：保護系統免受暴力破解攻擊。

• 定期備份：定期備份重要數據，以防止數據丟失。

通過上述措施，可以顯著提高Ubuntu下PHP應用程序的安全性，有效防范常見的網絡攻擊和安全威脅。