php.ini是PHP运行时的核心配置文件，它提供了大量参数来控制PHP的行为，其中不少参数对于阻止恶意脚本执行至关重要。个人觉得，把php.ini琢磨透了，就等于掌握了PHP安全的一大半主动权。
disable_functions
首先是disable_functions。这个参数允许你禁用PHP中一些危险的函数。在生产环境中，你真的需要禁用那些能执行系统命令的函数，比如exec、shell_exec、system、passthru、proc_open、popen。这些函数一旦被恶意脚本利用，攻击者就可以在你的服务器上为所欲为。此外，eval和assert这两个函数也需要高度警惕，它们允许动态执行字符串作为PHP代码，是WebShell常用的功能。禁用它们，能大大增加攻击者利用WebShell的难度。一个常见的配置可能是这样：
disable_functions = exec,shell_exec,system,passthru,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source,symlink,link,dl,pcntl_exec,pcntl_fork,pcntl_signal,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wexitstatus,pcntl_wifsignaled,pcntl_wtermsig,pcntl_wstopsig,posix_getpwuid,posix_getgrgid,posix_getpwnam,posix_getgrnam,posix_kill,posix_mkfifo,posix_mknod,posix_setpgid,posix_setsid,posix_setuid,posix_setgid,posix_setegid,posix_seteuid,posix_setgrent,posix_setpgrp,posix_setrlimit,posix_getsid,posix_getuid,posix_getgid,posix_geteuid,posix_getegid,posix_getlogin,posix_getpid,posix_getppid,posix_getpgrp,posix_getrlimit,posix_uname,stream_socket_server,fsockopen,pfsockopen,gethostbyname,gethostbynamel,getmxrr,getprotobyname,getprotobynumber,getservbyname,getservbyport,phpinfo,readlink,chown,chmod,chgrp,ini_set,ini_alter,ini_restore
这只是一个示例，具体禁用哪些，要根据你的应用实际需求来定，但原则是“能禁则禁”。
open_basedir
其次是open_basedir。这个配置是限制PHP脚本可以访问的文件系统路径。如果你把它设置为你的项目根目录，那么PHP脚本就只能在这个目录及其子目录中进行文件操作，有效地阻止了跨目录访问敏感文件或执行恶意操作。
例如：
open_basedir = /var/www/html/your_project/
需要注意的是，如果你的应用需要访问其他目录（比如上传目录、日志目录），你需要把这些目录也添加到open_basedir的列表中，用冒号（Linux/Unix）或分号（Windows）分隔。
allow_url_fopen = Off & allow_url_include = Off
allow_url_fopen = Off和allow_url_include = Off这两个也至关重要。它们分别控制是否允许PHP通过URL（如http://或ftp://）打开文件和包含文件。如果开启，攻击者可能利用文件包含漏洞来加载并执行远程服务器上的恶意PHP代码，这简直是引狼入室。所以，生产环境务必关闭。
expose_php = Off
expose_php = Off这个参数会阻止PHP在HTTP响应头中暴露PHP的版本信息（例如X-Powered-By: PHP/7.4.3）。虽然这本身不是一个安全漏洞，但它减少了攻击者获取目标系统信息的途径，让他们的前期侦察变得更困难。
display_errors = Off & log_errors = On
错误处理方面，display_errors = Off和log_errors = On是生产环境的标配。把错误信息直接显示给用户，可能会泄露服务器的内部路径、数据库连接信息等敏感数据，为攻击者提供线索。把错误记录到日志文件，既方便我们排查问题，又不会暴露信息。
max_execution_time
最后，资源限制也很重要。max_execution_time（最大执行时间）和memory_limit（内存限制）可以防止恶意脚本或有缺陷的脚本耗尽服务器资源，导致服务不可用（拒绝服务攻击）。根据你的应用规模和服务器性能，设置一个合理的值。
这些php.ini的配置就像一道道防线，虽然不能百分百杜绝所有攻击，但它们能大幅提高攻击的门槛和难度，让你的PHP环境更加健壮。
除了基础配置，还有哪些持续性的安全实践和监控措施？
仅仅依靠php.ini和Web服务器的基础配置，就像给房子装了道防盗门，虽然重要，但远远不够。安全是一个持续性的过程，需要多维度、深层次的实践和监控。我个人认为，忽视这些“日常维护”和“风险预警”，才是最大的安全隐患。
首先，定期更新是重中之重。这包括PHP版本、你使用的任何框架（如Laravel、Symfony）、CMS（如WordPress、Drupal）以及各种第三方库和插件。软件漏洞层出不穷，开发者会不断发布补丁。如果你不及时更新，就等于把已知的漏洞敞开着，等着攻击者来利用。我见过太多服务器因为运行老旧的PHP版本或CMS而遭受攻击的案例。
其次是安全审计和代码审查。这听起来可能有点学院派，但却是发现深层逻辑漏洞和编码缺陷的有效手段。可以定期请专业的安全团队进行渗透测试，或者在内部进行代码互审，尤其关注用户输入处理、文件操作、权限校验等敏感区域。这能发现那些光靠配置无法解决的问题。
日志分析是你的“眼睛和耳朵”。Web服务器的访问日志、PHP的错误日志、系统日志，都是宝贵的信息来源。通过监控这些日志，你可以发现异常的访问模式（比如大量的失败登录尝试、对不存在文件的请求、异常的错误信息），这些都可能是攻击的前兆。可以利用ELK Stack（Elasticsearch, Logstash, Kibana）或Splunk等工具来自动化日志收集和分析，实现实时告警。
Web应用防火墙（WAF）可以作为你应用的第一道防线。WAF位于Web服务器前端，能够实时检测并阻止常见的Web攻击，如SQL注入、XSS、文件上传漏洞等。它就像一个智能门卫，在请求到达你的应用之前就将其过滤掉。虽然WAF不能替代代码安全，但它能提供额外的保护层，尤其对于已知攻击模式的防御非常有效。
最小权限原则不仅仅适用于文件和目录，也适用于数据库用户和系统用户。数据库用户只应拥有其所需的最少权限，例如，Web应用连接数据库的用户不应该拥有创建、删除数据库或修改用户权限的能力。系统用户也应如此，避免使用root账户运行Web服务。
HTTP Security Headers
最后，不要忘了HTTP安全头（HTTP Security Headers）。这些头信息虽然不是直接阻止脚本执行，但它们能增强浏览器端的安全防护，例如：
Content-Security-Policy (CSP)：限制页面可以加载的资源（脚本、样式、图片等）的来源，有效防御XSS。
X-Frame-Options: 防止点击劫持（Clickjacking），禁止页面被嵌入到< iframe >中。
X-Content-Type-Options: 防止MIME类型嗅探，强制浏览器使用声明的MIME类型。
Strict-Transport-Security (HSTS): 强制浏览器通过HTTPS连接，防止中间人攻击。
这些头部能让你的应用在浏览器端也更安全。
