Nginx 中 PHP-FPM 高效安全解析需四要素协同：1. 精准 location 匹配防绕过；2. fastcgi_pass 与 PHP-FPM 监听方式严格一致；3. SCRIPT_FILENAME 必用 $realpath_root 防目录穿越；4. 关键 fastcgi_param 需显式覆盖补全。
要在 Nginx 中让 PHP-FPM 高效解析动态脚本，fastcgi_pass 不是孤立的一行配置，而是整套 FastCGI 转发链路的起点。它必须配合精准匹配、安全路径、完整参数和基础服务协同工作，缺一不可。
匹配规则要防绕过，不只看后缀
仅用 location ~ \.php$ 容易被构造恶意路径绕过（比如 /config.php.jpg 仍可能触发解析）。更稳妥的做法是：
- 用
location ~ \.php(/|$)：匹配真实 PHP 入口如/index.php或/api/index.php/extra，拒绝带多余后缀的请求 - 若项目有统一入口（如 Laravel 的
public/index.php），可加限定：location = /index.php+try_files $uri =404，确保文件真实存在且不被伪造 - 避免在 root 外使用 alias 指向 PHP 脚本目录，否则
$realpath_root可能失效
fastcgi_pass 必须与 PHP-FPM 监听方式严格一致
这一行填错，请求根本连不到 PHP-FPM。需根据实际部署方式选择并验证：
- Unix socket（推荐本地部署）：
fastcgi_pass unix:/run/php/php8.2-fpm.sock;→ 检查 socket 文件是否存在，且 Nginx worker 用户（如www-data）有读写权限 - TCP 方式（调试或跨机）：
fastcgi_pass 127.0.0.1:9000;→ 确认 PHP-FPM 的listen = 127.0.0.1:9000且listen.allowed_clients = 127.0.0.1 - 执行
systemctl status php8.2-fpm和sudo ss -tlnp | grep ':9000\|php-fpm.sock'实时确认监听状态
SCRIPT_FILENAME 必须用 $realpath_root 防目录穿越
这是最常引发安全漏洞的点。用 $document_root$fastcgi_script_name 可能被 ?file=../../etc/passwd 利用。
立即学习“PHP免费学习笔记（深入）”；
- 正确写法：
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name; -
$realpath_root是经realpath()解析后的绝对路径，自动消除../成分 - 前提是 location 或 server 块中已正确定义
root（不能是alias），且路径指向真实 Web 根目录 - 同时建议显式设置：
fastcgi_param PATH_INFO $fastcgi_path_info;，以支持框架路由（如/index.php/user/1）
配套参数不能依赖 include 一步到位
光靠 include fastcgi_params 不够，关键项需显式覆盖或补全：
-
fastcgi_index index.php;：明确默认入口，避免 403 或空响应 -
include snippets/fastcgi-php.conf;：Debian/Ubuntu 系统自带的合理模板，比裸fastcgi_params更贴近 PHP 场景 - 把
include放在所有fastcgi_param之后，确保自定义参数不被覆盖 - 检查
snippets/fastcgi-php.conf内容，确认已含SCRIPT_FILENAME安全写法；若无，手动补上
配置完成后，务必运行 nginx -t 测试语法，再 systemctl reload nginx 生效。搭配 tail -f /var/log/nginx/error.log 和 journalctl -u php8.2-fpm -f 实时观察错误，能快速定位连接失败、文件未找到或脚本执行异常等问题。
