针对PHP环境安全加固，需采取六项措施：一、在php.ini中禁用exec、system、eval等危险函数以防止代码执行；二、关闭expose_php和display_errors以减少信息泄露，启用错误日志记录；三、配置open_basedir限制脚本访问范围至指定目录如/var/www/html/your_site/；四、将allow_url_fopen和allow_url_include设为Off，阻止远程文件包含；五、升级PHP至8.1及以上受支持版本并应用安全补丁；六、设置文件权限为644、目录为755，属主非root，并监控日志以发现异常行为。
如果您正在运行基于PHP的Web应用，但担心潜在的安全风险，如代码注入、文件包含漏洞或敏感信息泄露，则需要对PHP环境进行安全加固。以下是针对常见安全隐患的多种解决方案：
一、限制PHP配置中的危险函数
通过禁用PHP中可能被恶意利用的函数，可以有效降低远程代码执行和文件系统篡改的风险。
1、打开php.ini配置文件，通常位于/etc/php/版本号/apache2/php.ini 或 /usr/local/php/etc/php.ini。
2、查找disable_functions指令，添加以下常用危险函数：exec,system,passthru,shell_exec,proc_open,popen,eval,assert,symlink,link,escapeshellarg,escapeshellcmd。
立即学习“PHP免费学习笔记（深入）”；
3、保存并重启Web服务（如Apache或Nginx），使更改生效。
二、关闭PHP信息暴露
防止攻击者通过公开的PHP信息获取服务器配置细节，从而减少攻击面。
1、在php.ini中将expose_php = Off设置为关闭状态，避免在HTTP响应头中暴露PHP版本。
2、将display_errors设为Off，防止错误信息直接输出到浏览器页面。
3、确保log_errors为On，并指定error_log路径，以便将错误记录到安全位置供管理员查看。
三、启用Open Basedir限制
通过限制PHP脚本只能访问指定目录，防止跨目录文件读取或写入操作。
1、在php.ini或虚拟主机配置中设置open_basedir参数。
2、将其值设定为网站根目录路径，例如：/var/www/html/your_site/:/tmp/。
3、确保每个虚拟主机使用独立的open_basedir范围，避免权限越界。
四、禁用远程文件包含
阻止PHP脚本加载外部服务器上的文件，防范远程代码执行攻击。
1、在php.ini中找到allow_url_fopen和allow_url_include指令。
2、将其均设置为Off，禁止通过HTTP或FTP协议包含远程文件。
3、检查现有代码是否依赖此类功能，如有必要，改用本地缓存或API方式获取数据。
五、更新PHP版本并打补丁
旧版本PHP存在已知安全漏洞，及时升级可修复这些缺陷。
1、确认当前PHP版本：运行php -v命令查看。
2、访问官方PHP网站，核对是否仍在支持周期内。
3、升级至官方推荐的稳定版本，例如从PHP 7.4升级到PHP 8.1或更高版本，并应用最新的安全补丁。
六、配置文件权限与日志监控
合理的文件权限设置和日志审计有助于防止未授权修改和及时发现异常行为。
1、将PHP脚本文件的权限设为644，目录权限设为755，属主应为非root用户。
2、确保web服务器进程（如www-data）无权修改关键配置文件。
3、定期检查PHP错误日志和访问日志，关注异常请求模式，例如大量404或POST请求指向非公开文件。
