必须同步完成Nginx 1.26.2与PHP 8.3.14的安全配置闭环：Nginx层严格限制运行权限、隐藏版本、过滤请求路径并禁用PHP文件静态下载；PHP层通过php.ini关闭信息泄露、禁用危险函数、启用open_basedir和安全Cookie策略；FPM池隔离站点用户与路径，并协同Nginx阻断上传目录执行、透传真实IP，实现纵深防御。
直接部署 Nginx 1.26.2 + PHP 8.3.14 到生产环境，不能只求“能跑”，必须同步完成安全配置闭环。核心是：Nginx 层做请求过滤与权限隔离，PHP 层做执行限制与信息收敛，两者配合才能堵住常见攻击入口。
一、Nginx 运行权限与基础防护配置
Nginx 进程不能以 root 身份长期运行，且需明确限定可访问路径和行为边界：
- 编译安装时指定非特权用户：
--user=www-data --group=www-data（Ubuntu/Debian）或--user=nginx --group=nginx（CentOS/RHEL），确保 worker 进程降权运行 - 主配置中禁用不必要的模块，如移除
--with-http_autoindex_module和--with-http_browser_module，减少指纹暴露面 - 在
http块中统一设置：server_tokens off;隐藏 Nginx 版本号；client_max_body_size 20m;防止大文件上传耗尽资源 - 所有
location ~ \.php$块内必须加fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;，避免因$document_root路径解析错误导致的任意文件执行
二、PHP-FPM 安全隔离与进程管理
PHP 不再由 Apache 内嵌加载，而是作为独立服务通过 FastCGI 通信，FPM 的配置直接影响安全性：
- 为每个站点创建独立的 FPM pool（如
/etc/php/8.3/fpm/pool.d/site1.conf），设置user = site1、group = site1，并限定chroot或chdir到站点根目录 - 关闭动态子进程扩展：
pm = static或pm = ondemand，禁用pm.start_servers过高的值，防止 fork 爆炸 - 在 pool 配置中显式禁止危险路径：
php_admin_value[disable_functions] = system,exec,shell_exec,passthru,proc_open,popen,pcntl_exec,dl,eval,assert,create_function（该值会覆盖 php.ini 中的同名设置） - 启用慢日志追踪：
slowlog = /var/log/php-fpm-slow-site1.log，request_slowlog_timeout = 5s，便于发现异常脚本
三、php.ini 关键安全项强制生效
PHP 8.3.14 默认配置仍偏宽松，生产环境必须手动收紧：
立即学习“PHP免费学习笔记（深入）”；
-
expose_php = Off—— 彻底隐藏X-Powered-By头 -
display_errors = Off且log_errors = On，错误日志路径设为非 Web 可访问目录，如error_log = /var/log/php/site1_error.log -
open_basedir = /var/www/site1:/tmp—— 严格限定 PHP 可读写路径，防止跨目录遍历（注意：若使用 Composer autoload 或缓存目录，需一并加入） -
session.cookie_httponly = On、session.cookie_secure = On（HTTPS 环境下）、session.cookie_samesite = Strict，防御 XSS 和 CSRF - 禁用远程文件加载：
allow_url_fopen = Off、allow_url_include = Off，除非业务明确需要且已做白名单校验
四、Nginx 与 PHP 协同防御细节
很多漏洞出现在 Nginx 和 PHP 的交互边界，需针对性加固：
- 禁止直接访问敏感文件：
location ~ /\.(htaccess|htpasswd|env|ini|log|sh|sql|bak|swp)$ { deny all; } - 阻止 PHP 文件被当作静态资源下载：
location ~ ^/.*\.php(/|$) { try_files $uri =404; }，配合fastcgi_split_path_info正确拆分路径 - 对上传目录做双重限制：Nginx 层禁用执行（
location ^~ /uploads/ { location ~ \.php$ { return 403; } }），PHP 层设置upload_tmp_dir指向独立临时区 - 启用真实 IP 透传：
set_real_ip_from 127.0.0.1;+real_ip_header X-Forwarded-For;，确保$_SERVER['REMOTE_ADDR']可信，用于限流或封禁
不复杂但容易忽略——安全不是加一堆参数，而是让每一层都只做它该做的事，并拒绝一切未明确定义的行为。
