在实际运营中，站长经常抱怨：

• 网站被SQL注入或XSS攻击后数据泄露。
• 恶意脚本利用高权限PHP‑FPM进程获取程序根目录。
• 大批并发请求导致服务崩溃，甚至被DoS攻击拖垮。
• 上传功能被滥用，上传木马后门。

下面针对这些常见痛点。对 CentOS + PHP‑FPM 的安全配置进行程序化梳理与调整，只需按部就班执行，即可明显提高站点防御能力。

1️⃣ 安装和基础配置 PHP‑FPM

确保程序已安装最新的 PHP‑FPM 与常用 ：

# 安装 PHP、PHP‑FPM 与常用模块
sudo yum install -y php php-fpm php-mysqlnd php-gd php-mbstring php-xml php-pear php-bcmath
# 启动并设置开机自启
sudo systemctl enable php-fpm
sudo systemctl start php-fpm

2️⃣ 使用非特权使用者运行 PHP‑FPM

将进程池以普通使用者运行，避免因 root 权限导致的全局破坏：

# /etc/php-fpm.d/www.conf
user = nginx
group = nginx
listen.owner = nginx
listen.group = nginx

3️⃣ 限制 PHP‑FPM 进程资源

通过以下参数控制并发进程数量、内存使用还有超时行为：

# /etc/php-fpm.d/www.conf
pm = dynamic # 动态子进程模型
pm.max_children = 50 # 最大子进程数
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 10
request_terminate_timeout = 60s # 超时强制终止请求
rlimit_files = 1024 # 打开文件句柄上限
rlimit_core = 0 # 禁止 core dump 防信息泄漏

4️⃣ 禁用危险函数

在 /etc/php.ini 中关闭一批高危函数：

;禁用可能被滥用的函数列表
disable_functions = eval,assert,system,shell_exec,passthru,exec,popen,curl_exec,curl_multi_exec,parse_ini_file。show_source

5️⃣ 错误处理安全

生产环境下不要把错误直接输出到浏览器，而是记录到日志：

;/etc/php.ini
display_errors = Off;不向前端显示错误信息
log_errors = On;开启错误日志记录
error_log = /var/log/php_errors.log;怎么说呢，指定错误日志方法
# 实时查看错误日志
tail -f /var/log/php_errors.log &

6️⃣ 增加文件上传安全

限制上传大小、类型。并开启临时目录隔离：

;/etc/php.ini
file_uploads = On;按理说，开启文件上传功能
upload_max_filesize = 10M;单个文件最大尺寸
post_max_size = 10M;POST 请求整体大小上限
推荐结合 Web Server 的 MIME 检查进一步过滤非法类型

7️⃣ 强化会话安全

通过 Cookie 标记提高会话抗抓取能力：

;/etc/php.ini 或对应的 FPM 池配置文件中加入：
session.cookie_httponly = On;JavaScript 无法读取 Cookie，提高 XSS 抗性
session.cookie_secure = On;HTTPS 环境下仅在加密通道传输 Cookie
session.cookie_samesite= Strict;
防止跨站请求伪造
session.gc_maxlifetime = 1440;会话最大存活时间

8️⃣ 限制 PHP 脚本访问目录

Pain point: 攻击者利用漏洞遍历服务器根目录获取敏感文件。使用 open_basedir 将可访问范围锁定在业务目录内：

;/etc/php-fpm.d/www.conf 或对应池配置文件中添加：
php_admin_value = /var/www/html/:/tmp/
如有多站点需求，可为每个池单独设置不同方法。

9️⃣ 配置防火墙限制访问

Pain point: 未受控端口成为攻击者探测入口。使用 firewalld 精准放行 HTTP/HTTPS 并封闭其余端口：

# 永久添加服务规则并重载防火墙生效
sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --permanent --zone=public --add-service=https
# 可选：仅允许特定来源 IP访问管理端口 ssh
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
sudo firewall-cmd --reload # 应用新规则

🔟 使用 HTTPS 加密传输

Pain point: 明文 HTTP 易被抓包窃取登录凭证。说起来，推荐使用 Let’s Encrypt 免费证书实现全站 HTTPS：

# 安装 Certbot 与 Nginx 插件
sudo yum install -y certbot python3-certbot-nginx
# 为域名申请证书并自动更新 Nginx 配置；--redirect 参数自动将 HTTP 重定向至 HTTPS。sudo certbot --nginx -d example.com -d www.example.com --redirect
# 验证证书是否成功部署：
curl -I https://example.com | grep "200 OK"

#11 安装 Web 应用防火墙 ModSecurity

Pain point: SQL 注入、XSS 等漏洞往往在代码层难以一次性全部修复。怎么说呢，ModSecurity 能在请求阶段过滤恶意负载：

# 安装 ModSecurity 与主要规则集 CRS
sudo yum install -y mod_security mod_security_crs
# 启用模块并加载默认规则集：
sudo sed -i 's/^SecRuleEngine .*/SecRuleEngine On/' /etc/modsecurity/modsecurity.conf
# 在 Nginx 中引入 ModSecurity 配置
cat>> /etc/nginx/conf.d/modsecurity.conf 

#12 SELinux 强制模式下细粒度权限控制

Pain point: 即使配置失误导致某些方法可写。SELinux 的强制模式仍能阻断非法操作。

# 查看当前 SELinux 状态并切换为 enforcing 模式：
sestatus # 确认状态为 enforcing。否则执行以下命令：
sudo setenforce 1 # 临时切换为 enforcing 模式
# 永久修改 SELinux 配置文件：
sudo vi /etc/selinux/config # 将 SELINUX=enforcing 写入其中
# 为 PHP‑FPM 添加必要的布尔值：
setsebool -P httpd_can_network_connect on # 若需外部网络连接，如调用 API。setsebool -P httpd_execmem off # 防止执行内存中的恶意代码。setsebool -P httpd_unified on # 合并 httpd 与 fpm 的上下文。

#13 定期监控与日志审计

Pain point: 攻击往往留下痕迹，但若未及时检查就会错失响应窗口。

• PHP‑FPM 错误日志：

  # 实时查看 FPM 错误日志及慢请求日志
  tail -f /var/log/php-fpm/error.log
  tail -f /var/log/php-fpm/www-error.log
  tail -f /var/log/php_fpm.slowlog # 如已开启慢请求日志记录
  

# 简单统计异常请求。如频繁的 POST 或带有可疑参数的 URL
awk '$9 ~ /^/ {print $1,$7,$9}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head

使用 fail2ban 对暴力登录等行为进行自动封禁

yum install -y epel-release fail2ban systemctl enable fail2ban && systemctl start fail2ban

# 每天凌晨检查关键文件 MD5 是否变化；如异常则邮件告警，0 3 * * * root /usr/sbin/aide --check | mail -s "AIDE 检查报告"
>