centos中php如何進行安全加固

在CentOS系統中對PHP進行安全加固，可以遵循以下步驟：

1. 密碼策略配置

修改 /etc/login.defs：
- 設置 PASS_MAX_DAYS 為 90（密碼有效期）
- 設置 PASS_MIN_DAYS 為 2（密碼最短期限）
- 設置 PASS_MIN_LEN 為 8（密碼最短長度）
- 設置 PASS_WARN_AGE 為 30（密碼過期提醒）。

配置PAM（Pluggable Authentication Modules）：

編輯 /etc/pam.d/system-auth 文件，增加或修改以下行：

password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=

并在其下面新增：

password requisite pam_pwquality.so try_first_pass minlen=8 difok=5 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 retry=1 authtok_type=

如果需要為root用戶也應用此規則，添加 enforce_for_root。

2. 禁用不必要的PHP模塊

使用 php -m 命令查看當前PHP加載的模塊，并根據需要禁用不需要的模塊。

3. 配置PHP安全模式

在 php.ini 文件中設置 safe_mode 為 Off，以關閉安全模式。

4. 限制PHP的文件系統訪問

在 php.ini 文件中設置 open_basedir 來限制PHP可以訪問的文件系統目錄。

5. 防止SQL注入

使用預處理語句和參數化查詢，并對用戶輸入進行嚴格的驗證和過濾。

6. 防止XSS攻擊

對用戶輸入進行轉義，使用內容安全策略（CSP）來限制可執行的腳本來源。

7. 防止CSRF攻擊

使用反CSRF令牌，并在表單提交時驗證請求的來源。

8. 安全Cookie設置

設置 session.cookie_httponly 為 1，防止腳本通過document對象獲取Cookie。
如果使用HTTPS，設置 session.cookie_secure 為 1，確保Cookie只在HTTPS下傳輸。

9. 限制文件上傳

驗證文件類型和大小，并對上傳的文件進行安全掃描。

10. 禁用危險函數

在 php.ini 文件中禁用不安全的函數，如 phpinfo, eval, passthru, exec, system, chroot, scandir 等。

11. 配置錯誤報告

在生產環境中，將 display_errors 設置為 Off，并將錯誤信息記錄到日志文件中，如 /var/log/php/error_log。

12. 定期更新PHP和系統

保持PHP和CentOS系統更新到最新版本，以修補已知的安全漏洞。

13. 使用防火墻限制訪問

配置防火墻（如 firewalld）限制對PHP相關服務的訪問。

14. 監控和日志記錄

定期檢查PHP錯誤日志和系統日志，以便及時發現和處理安全問題。

以上步驟可以幫助你提高PHP應用程序的安全性。請根據你的具體環境和需求調整配置。在進行任何配置更改之前，請確保備份相關文件，并在非生產環境中進行充分測試。