PHP在Ubuntu上的安全設置

在Ubuntu上設置PHP的安全性是非常重要的，以下是一些關鍵的安全設置步驟和最佳實踐：

更新系統和軟件包

確保系統和所有軟件包都是最新的，以修復已知的安全漏洞。

sudo apt update
sudo apt upgrade

安裝和配置Web服務器

安裝并配置Apache或Nginx，并確保使用HTTPS來加密數據傳輸。

sudo apt install apache2
sudo a2enmod ssl
sudo systemctl restart apache2

配置PHP

編輯PHP的配置文件 php.ini，進行以下設置：

• 錯誤報告：在生產環境中，關閉詳細的錯誤報告，只顯示必要的信息。

display_errors Off
log_errors On
error_reporting E_ALL & E_NOTICE & E_DEPRECATED & E_STRICT & E_USER_NOTICE & E_USER_WARNING

• 安全模式：啟用安全模式，并限制可以執行的類。

safe_mode On
safe_mode_allowed_classes "mysqli,pdo_mysql"

• 禁用危險函數：禁用不需要的PHP函數，如 exec() 、 system() 等。

disable_functions exec,system,passthru,shell_exec,popen,curl,fsockopen,file_get_contents,mkdir,rmdir,rename,unlink,chmod,chown,chgrp,date,time,localtime,gmtime,isset,empty,is_array,is_object,is_resource,is_string,is_int,is_float,is_bool,is_callable,assert

• 文件系統限制：使用 open_basedir 限制PHP可以訪問的系統目錄。

open_basedir /var/www/html:/tmp

• 禁止遠程資源訪問：關閉 allow_url_fopen 和 allow_url_include 。

allow_url_fopen Off
allow_url_include Off

• 上傳權限：限制文件上傳功能，防止惡意文件上傳。

location /(uploads)/.*\.(php|php5|php7|phtml)$ {
    deny all;
}

使用預編譯擴展

盡量使用預編譯的擴展，而不是從源代碼編譯，以減少潛在的安全風險。

限制文件訪問權限

確保你的應用程序文件和目錄具有適當的訪問權限，以防止未經授權的文件訪問。

sudo chown -R www-data:www-data /path/to/your/php/applications
sudo chmod -R 755 /path/to/your/php/application

定期檢查和更新

定期檢查并更新你的項目依賴庫，以確保它們沒有已知的安全漏洞。

composer update

使用安全編碼工具

使用諸如 PHP Security Advisories Checker 之類的工具來掃描你的代碼，查找潛在的安全問題。

實施額外的安全措施

• 使用強密碼：為用戶和root賬戶設置復雜且難以猜測的密碼。
• 限制root登錄：禁止直接通過SSH登錄root賬戶。
• 安裝防火墻：使用 UFW 并配置防火墻規則。
• 使用 Fail2ban ：保護系統免受暴力破解攻擊。
• 定期備份：定期備份重要數據，以防止數據丟失。

通過以上步驟和最佳實踐，你可以顯著提高Ubuntu系統上PHP應用程序的安全性，有效防范常見的網絡攻擊和安全威脅。