nginx php-fpm fastcgi防止跨站、跨目录的安全设置

Nginx与PHPFPM FastCGI的安全配置

在构建Web应用时，安全性是一个重要的考量，Nginx作为一个高性能的Web服务器，配合PHPFPM（FastCGI进程管理器）处理PHP脚本，可以提供高效且安全的服务，为了防范跨站脚本攻击（XSS）、跨站请求伪造（CSRF）、文件包含等安全威胁，我们需要对Nginx和PHPFPM进行一些安全设置。

1. Nginx的安全配置

Nginx的安全配置主要涉及以下几个方面：

HTTPS强制: 通过将所有HTTP流量重定向到HTTPS，确保数据传输的安全性。

访问控制: 使用allow和deny指令来限制或允许特定IP地址的访问。

HTTP请求限制: 限制客户端的请求频率，防止暴力攻击。

HTTP响应头: 设置合适的HTTP响应头，如XContentTypeOptions, XFrameOptions, XXSSProtection等，以减少XSS攻击的风险。

错误页面: 自定义错误页面，避免泄露敏感信息。

2. PHPFPM的安全配置

PHPFPM的安全配置主要包括：

隔离环境: 使用不同的用户运行不同的PHPFPM池，实现隔离。

文件权限: 确保PHP脚本和相关文件的权限正确设置，防止未授权访问。

禁用危险函数: 通过php.ini禁用一些可能带来风险的PHP函数，如eval(), exec(), shell_exec()等。

开启安全模式: 虽然PHP 5.3以后已经移除了安全模式，但可以通过其他方式实现类似的功能，如使用open_basedir限制脚本只能访问特定的目录。

错误报告: 关闭错误报告或将其设置为仅开发者可见，防止敏感信息泄露。

3. 配置示例

以下是一些具体的配置示例：

Nginx配置

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}
server {
    listen 443 ssl;
    server_name example.com;
    # SSL configuration ...
    location / {
        root /var/www/html;
        index index.html index.htm index.php;
        try_files $uri $uri/ /index.php?$args;
    }
    location ~ .php$ {
        include fastcgi_params;
        fastcgi_pass unix:/var/run/php/php7.4fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }
}

PHPFPM配置

[global]
error_log = /var/log/phpfpm/error.log
security.limit_extensions = .php
[www]
listen = /var/run/php/php7.4fpm.sock
listen.owner = wwwdata
listen.group = wwwdata
user = wwwdata
group = wwwdata
pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35
chroot = /var/www/html
chdir = /
php_admin_value[open_basedir] = /var/www/html/:/tmp/
php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,socket_create,socket_close,socket_bind,socket_connect,socket_accept,socket_listen,socket_sendmsg,socket_recvmsg,socket_getpeername,socket_getsockname,socket_getsockopt,socket_setsockopt,socket_shutdown,socket_read,socket_write,socket_select,fsockopen,pfsockopen,syslog,apache_child_terminate,posix_kill,posix_mkfifo,posix_setegid,posix_seteuid,posix_setgid,posix_setuid,posix_setpgid,posix_setsid,posix_setpriority,posix_setrlimit,posix_setuid,shell_exec,stream_socket_server,stream_socket_client

4. 安全实践建议

除了上述的配置之外，还有一些安全实践建议：

定期更新: 定期更新Nginx和PHP，以及所有相关的软件包，以修复已知的安全漏洞。

监控日志: 监控Nginx和PHPFPM的日志文件，以便及时发现任何可疑活动。

备份数据: 定期备份网站数据和配置文件，以防万一。

使用防火墙: 使用防火墙限制对服务器的访问，只允许必要的端口和服务。

相关问答FAQs

Q1: 我应该如何选择合适的HTTP响应头来提高安全性？

A1: 你可以根据以下建议来设置HTTP响应头：

XContentTypeOptions: nosniff 防止浏览器解析MIME类型。

XFrameOptions: deny 防止点击劫持攻击。

XXSSProtection: 1; mode=block 启用XSS过滤器（但请注意，现代浏览器可能不支持或默认禁用此选项）。

ContentSecurityPolicy (CSP) 用于定义哪些外部资源可以加载到页面上，是一个非常强大的工具。

Q2: 如果我想限制PHP脚本只能访问特定的目录，应该怎么做？

A2: 你可以通过php.ini文件中的open_basedir指令来限制PHP脚本只能访问特定的目录。

php_admin_value[open_basedir] = /var/www/html/:/tmp/

这将限制PHP脚本只能访问/var/www/html/和/tmp/目录及其子目录。