从PHP 7.4迁移到PHP 8.0，性能提升固然诱人，但安全配置上的疏忽，可能会让整个服务器门户洞开。很多开发者习惯性地沿用旧版本的配置模板，这恰恰是最大的隐患。PHP 8.0引入了一些新特性，同时也废弃或改变了某些旧行为，安全配置必须与之同步演进。
禁用函数清单：不再是“一刀切”
- shell_exec, system, exec, passthru：这组“元老级”危险函数必须禁用，除非你的应用是特制的运维管理后台。
- proc_open, popen：它们是执行系统命令的“后门”，在绝大多数Web应用中应被封锁。
- dl：允许运行时加载PHP扩展，在共享主机环境或标准Web应用中禁用它是铁律。
- symlink：创建符号链接。在存在文件上传功能且目录权限设置不当时，攻击者可能利用它遍历或读取敏感文件。
重点在于，禁用函数需结合应用实际。一个需要调用ImageMagick进行图像处理的应用，禁用exec可能就行不通。更安全的做法是，使用PHP的proc_open()并严格控制参数，或转向纯PHP的图像处理库。
open_basedir的精确制导
将open_basedir设置为Web根目录及其必要的包含目录（如临时文件目录、会话保存目录），是构建文件访问“监狱”的有效手段。但配置过于宽泛（如设置为“/”）等于没设，过于严格又可能导致应用功能异常。一个常见的错误是遗漏了PHP会话保存路径（session.save_path），导致会话无法读写。正确的做法是在php.ini中或虚拟主机配置里明确指定：
open_basedir = /var/www/html/:/tmp/:/var/lib/php/sessions/错误处理：暴露的信息越少越好
开发时我们需要详细的错误信息来调试，但生产环境恰恰相反。在php.ini中，这几项配置关乎信息泄露：
display_errors = Off：绝对不能让错误堆栈 trace 直接显示给用户。log_errors = On&error_log = /path/to/secure/php_errors.log：将错误记录到服务器文件，并确保该文件不在Web可访问目录下。expose_php = Off：这个设置会移除HTTP响应头中的“X-Powered-By: PHP/8.0.x”，避免向潜在攻击者广播你的PHP版本信息。
会话安全与上传文件的“隔离区”
会话劫持是常见的攻击方式。除了使用HTTPS，还应配置：session.cookie_httponly = 1（防止JavaScript通过document.cookie窃取）和session.cookie_secure = 1（强制仅通过HTTPS传输）。对于文件上传，file_uploads = On固然需要，但更重要的是设置upload_tmp_dir到一个独立的、非Web可执行的目录，并配合upload_max_filesize和post_max_size进行限制。
最后，别忘了定期检查PHP官方发布的更新日志。安全配置不是一劳永逸的清单，它随着版本迭代和新型攻击手法的出现而不断调整。将配置文档化，并在每次环境变更时进行复核，这个习惯的价值不亚于任何一项具体的技术设置。
评论(0)