首先检查文件目录权限并修复PHP配置安全选项，再启用错误日志与操作日志追踪，最后使用自动化工具扫描漏洞，确保PHP应用权限安全。
如果您在维护PHP应用时发现权限配置不当可能导致敏感文件被非法访问或执行，就需要对PHP的权限设置进行全面检查。以下是进行PHP权限审计和操作日志追踪的具体步骤：
一、检查文件与目录权限
确保服务器上的PHP文件和目录具有适当的读写执行权限，防止未授权用户访问或修改关键资源。通常Web可访问目录应禁止写权限，而上传目录则需限制脚本执行。
1、使用SSH登录到服务器，进入网站根目录。
2、运行命令 find /var/www/html -type f -exec chmod 644 {} \; 将所有文件设置为644权限。
立即学习“PHP免费学习笔记（深入）”；
3、运行命令 find /var/www/html -type d -exec chmod 755 {} \; 将所有目录设置为755权限。
4、针对上传目录如uploads，执行 chmod 750 uploads/ 并禁用PHP执行，可通过Web服务器配置实现。
二、审查PHP配置文件中的安全选项
php.ini配置直接影响PHP运行时的安全性，需确认是否启用了安全相关选项并禁用了危险函数。
1、定位php.ini文件路径，可通过创建一个包含 phpinfo() 的PHP页面获取位置。
2、打开php.ini文件，查找 disable_functions 配置项，并添加以下函数：exec,passthru,shell_exec,system,proc_open,popen。
3、确保 allow_url_fopen 和 allow_url_include 设置为Off，以防止远程文件包含漏洞。
4、重启Web服务使配置生效，例如执行 systemctl restart apache2 或对应服务命令。
三、启用并分析PHP错误日志
通过开启详细的错误记录，可以追踪潜在的异常行为或攻击尝试，帮助识别权限滥用情况。
1、编辑php.ini文件，将 log_errors = On 设置启用。
2、指定日志路径：error_log = /var/log/php_errors.log。
3、确保Web服务器进程有写入该日志文件的权限，使用 chown www-data:www-data /var/log/php_errors.log 调整属主。
4、定期查看日志内容，使用命令 tail -f /var/log/php_errors.log 实时监控错误输出。
四、部署操作日志追踪机制
在应用程序中手动插入日志记录点，用于捕获关键操作如文件访问、用户登录、权限变更等事件。
1、创建统一的日志记录函数，示例代码如下：
function writeLog($message) {
$logEntry = date('Y-m-d H:i:s') . ' [' . $_SERVER['REMOTE_ADDR'] . '] ' . $message . "\n";
file_put_contents('/var/log/app_access.log', $logEntry, FILE_APPEND);
}
2、在敏感操作前后调用该函数，例如用户登录成功后执行 writeLog("User login: " . $username);。
3、保护日志文件不被篡改，设置其权限为640并仅允许管理员组读取。
4、结合系统日志工具如rsyslog，将应用日志转发至集中式日志服务器。
五、使用自动化审计工具扫描漏洞
借助专业静态分析工具检测代码中可能存在的权限绕过、文件包含等问题，提高审计效率。
1、下载并安装PHP Security Checker工具，可通过Composer安装：composer require phpsecurity/checker。
2、运行扫描命令：phpsecurity check /var/www/html 对目标目录进行分析。
3、查看生成的报告，重点关注标记为高风险的条目，如不安全的文件操作函数调用。
4、根据工具建议修复代码逻辑，重新扫描直至无严重警告。
