php-fpm于ubuntu如何安全配置

在Ubuntu上安全配置PHP-FPM涉及多個方面，包括文件權限、用戶和組設置、防火墻配置等。以下是一個基本的指南，幫助你安全地配置PHP-FPM：

安裝PHP-FPM

首先，確保你已經安裝了PHP-FPM。你可以使用以下命令來安裝：

sudo apt update
sudo apt install php-fpm

配置PHP-FPM

編輯PHP-FPM的主要配置文件 /etc/php/{version}/fpm/pool.d/www.conf，其中 {version} 是你的PHP版本號（例如7.4）。

• 設置用戶和組：將 user 和 group 設置為非root用戶和組，例如 user = www-data 和 group = www-data。

• 監聽設置：確保PHP-FPM監聽在Unix socket上，而不是TCP端口，這樣可以提高安全性：

  listen = /run/php/php{version}-fpm.sock
  listen.owner = www-data
  listen.group = www-data
  listen.mode = 0660
  

• 安全選項：啟用一些安全選項，例如限制進程數量和請求大?。?/p>

  pm = dynamic
  pm.max_children = 5
  pm.start_servers = 2
  pm.min_spare_servers = 1
  pm.max_spare_servers = 3
  request_terminate_timeout = 30s
  php_admin_value[error_log] = /var/log/php-fpm/error.log
  php_admin_flag[log_errors] = on
  

文件權限

確保PHP-FPM進程有足夠的權限訪問必要的文件和目錄。

• Web根目錄權限：設置Web根目錄的權限，確保只有必要的用戶和組可以訪問：

  sudo chown -R www-data:www-data /var/www/html
  sudo find /var/www/html -type d -exec chmod 755 {} \;
  sudo find /var/www/html -type f -exec chmod 644 {} \;
  

• PHP文件權限：確保PHP文件的權限設置正確：

  sudo find /var/www/html -type f -name "*.php" -exec chmod 644 {} \;
  

防火墻配置

如果你使用的是UFW（Uncomplicated Firewall），可以配置防火墻規則來限制對PHP-FPM的訪問。

• 允許HTTP/HTTPS流量：

  sudo ufw allow 'Nginx Full'
  

• 限制PHP-FPM端口（如果使用TCP端口）：如果你選擇使用TCP端口而不是Unix socket，可以配置防火墻規則：

  sudo ufw allow 9000/tcp
  

SELinux/AppArmor

如果你使用的是SELinux或AppArmor，確保它們配置正確以限制PHP-FPM的訪問。

• SELinux：如果你使用的是SELinux，可以設置適當的上下文：

  sudo chcon -Rv --type=httpd_sys_content_t /var/www/html
  

• AppArmor：如果你使用的是AppArmor，確保配置文件允許PHP-FPM訪問必要的文件和目錄。

日志監控

定期檢查PHP-FPM的日志文件，以便及時發現和解決安全問題：

sudo tail -f /var/log/php-fpm/error.log

定期更新

定期更新PHP-FPM和相關軟件包，以確保你使用的是最新的安全補?。?/p>

sudo apt update
sudo apt upgrade

通過以上步驟，你可以大大提高在Ubuntu上運行PHP-FPM的安全性。記住，安全是一個持續的過程，需要定期審查和更新配置。