LNMP 環境 PHP 安全加固實戰指南：從配置到架構的纵深防禦

前言

LNMP（Linux+Nginx+MySQL+PHP）已成主流 Web 架構。PHP 作為解釋執行語言，靈活性高但攻擊面廣。本文匯總多年生產環境實踐，從配置加固、代碼層面、架構隔離三個維度構建 PHP 安全防線。

一、配置層加固：php.ini 核心設置

1. open_basedir 目錄隔離 —— 必須項

; php.ini 或 php-fpm pool 配置
[HOST=www.example.com]
open_basedir = /data/site/www.example.com/:/tmp/

[HOST=api.example.com]
open_basedir = /data/site/api.example.com/:/tmp/

原理：限制 PHP 腳本只能訪問指定目錄樹，防止跨站點文件讀寫。關鍵細節：目錄路徑必須以 / 結尾，否則 /tmp 會匹配 /tmp123 等目錄。PHP 5.3+ 支援此寫法。

2. 禁用高危函數

disable_functions = show_source,system,shell_exec,passthru,exec,popen,proc_open,proc_get_status,phpinfo,pcntl_exec,ld,dl,set_time_limit,ignore_user_abort

涵蓋命令執行、進程控制、信息洩露三大類。根據業務需要可精減（如需 exec 執行圖片處理），但生產環境原則上全禁用。

3. 關閉錯誤顯示與版本暴露

display_errors = Off
expose_php = Off

display_errors 防止路徑、數據庫憑證等敏感信息輸出到前端；expose_php 隱藏 HTTP Header 中的 X-Powered-By: PHP/x.x.x，降低針對性攻擊風險。

4. 禁用動態加載與遠程 URL 包含

enable_dl = Off
allow_url_fopen = Off
allow_url_include = Off

allow_url_fopen 不僅是安全隱患，更是性能殺手（同步阻塞遠程請求）。需遠程調用請改用 cURL 異步並發。

5. Session 安全配置

session.cookie_httponly = 1
session.cookie_secure = 1  ; 僅 HTTPS 環境
session.use_strict_mode = 1
session.cookie_samesite = Strict

二、文件系統權限：最小權限原則落地

PHP 進程用戶唯讀模式（推薦）

# 目錄結構
/data/site/www.example.com/          # 權限 755，屬主 root:root
/data/site/www.example.com/public/   # 權限 755，屬主 root:root
/data/site/www.example.com/var/      # 權限 770，屬主 www:www  ← 唯一可寫目錄
/data/site/www.example.com/vendor/   # 權限 550，屬主 root:root

PHP-FPM 以 www 用戶運行，僅對 var/（緩存、日誌、上傳臨時文件）有寫權限。即使注入 WebShell 也無法落地持久化文件。

三、架構層隔離：將安全邊界前移

上傳分離架構

┌─────────────┐     API 上傳      ┌──────────────────┐
│  Web 節點   │ ───────────────▶  │  存儲節點        │
│  (只讀)     │   預簽名 URL      │  (靜態服務器/OSS) │
└─────────────┘                   └──────────────────┘
       │                                    │
       │ 無執行權限                          │ 無 PHP 解析
       ▼                                    ▼
  防 WebShell 持久化                    防直接訪問執行

實現方式：

• Nginx proxy_pass 至上傳服務，或前端直傳 OSS（預簽名 URL）
• 存儲節點禁用 PHP 解析：location ~ \.php$ { deny all; }
• 對象存儲配置防盜鏈、簽名過期、內容類型驗證

多站點容器化隔離

採用 Docker/K8s 將每個站點獨立容器：

• 文件系統完全隔離，跨站滲透難度指數級上升
• 資源配額限制（CPU/內存/磁盤/網絡），防止單站點拖垮整機
• 鏡像不可變，部署即掃描，漏洞鏡像阻斷上線

四、運行時防護：WAF 與 RASP

建議：ModSecurity 做基線防護 + OpenRASP 做深度檢測，關鍵業務上雲 WAF 做 DDoS/CC 緩解。

五、持續安全運營

1. 漏洞情報訂閱：關注 PHP 官方、CVE、NVD、GitHub Security Advisories
2. 依賴掃描：Composer composer audit、Snyk、Dependabot 定期掃描 vendor 庫
3. 代碼審計：上線前靜態分析，Psalm/PHPStan + 安全規則集
4. 滲透測試：季度委托第三方或內部紅隊演練
5. 應急預案：WebShell 檢測腳本、流量鏡像分析、快速回滾機制

總結：分層防禦體系圖

┌─────────────────────────────────────┐
│  邊界層：雲 WAF / 硬件防火牆 / 安全組  │  ← DDoS、CC、已知攻擊特徵
├─────────────────────────────────────┤
│  接入層：Nginx 限流、IP 黑白名單、HTTPS │  ← 協議異常、暴力破解、掃描器
├─────────────────────────────────────┤
│  應用層：ModSecurity + OpenRASP        │  ← SQLi、XSS、RCE、文件包含
├─────────────────────────────────────┤
│  代碼層：參數化查詢、輸出編碼、權限檢查  │  ← 業務邏輯漏洞、越權、CSRF
├─────────────────────────────────────┤
│  運行層：PHP 唯讀、open_basedir、禁用函數 │  ← 利用後滲透、提權、持久化
├─────────────────────────────────────┤
│  架構層：上傳分離、容器隔離、微服務拆分   │  ← 橫向移動、數據洩露、單點故障
└─────────────────────────────────────┘

安全無絕對，唯有纵深防禦、持續運營、假設失陷、快速響應。