PHP 7.4.33安全配置需五层闭环：关闭错误输出、禁用全量危险函数（含pcntl_*/eval等）、设置open_basedir与opcache.restrict_api、隐藏PHP标识、强化会话安全，并分别验证CLI/Web环境php.ini路径及重启服务。
PHP 7.4.33 是 PHP 7 系列的最终稳定版，虽已停止官方维护，但在不少生产环境仍在运行。安全配置不能只靠“改几行就上线”，必须兼顾信息隐藏、函数禁用、路径限制、日志审计和资源管控五个层面，且每项都要验证是否真正生效。
关闭错误输出并启用错误日志
生产环境绝不能把错误信息直接显示给用户，否则可能泄露路径、数据库结构甚至代码片段：
- display_errors = Off（必须关闭）
- log_errors = On（必须开启）
- error_log = /var/log/php_errors.log（建议指定绝对路径，确保PHP进程有写权限）
- html_errors = Off（避免错误中嵌入HTML标签造成XSS风险）
- error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT（记录所有运行时错误，但过滤掉废弃与严格警告）
禁用危险函数（含绕过链）
仅禁用 exec/system 远不够——攻击者常通过 eval、assert、pcntl_*、file_put_contents 等组合实现命令执行或 Webshell 提权：
- 在 php.ini 中写为单行，全小写、逗号后零空格、无换行、无末尾逗号：
- disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wexitstatus,pcntl_wtermsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_alarm,pcntl_getpriority,pcntl_setpriority,eval,assert,dl,ini_alter,openlog,syslog,chmod,chown,chgrp,symlink,link,file_put_contents,show_source,highlight_file,parse_ini_file,phpinfo,php_uname,getmyuid,getmypid,getmyinode,getcwd,diskfreespace,disk_free_space,disk_total_space
- 注意：CLI 和 Web（FPM/Apache）加载不同 php.ini，需分别确认并修改对应文件（用
php --ini和phpinfo()查路径） - 改完后必须重启服务：
systemctl restart php7.4-fpm或systemctl restart httpd
限制文件访问范围与OPcache API
禁函数只是第一层，攻击者仍可写入临时文件再 include 执行。必须叠加路径隔离与缓存防护：
立即学习“PHP免费学习笔记（深入）”；
- open_basedir = /var/www/html:/tmp:/var/log（列出业务实际需要读写的目录，多个用冒号分隔；确保包含上传、缓存、日志路径）
- opcache.enable = 1（启用加速）
- opcache.restrict_api = "/dev/null"（PHP 7.4+ 支持，禁止通过 opcache_get_status() 等函数泄露路径与缓存内容）
- Nginx + PHP-FPM 下额外检查：
security.limit_extensions = .php（防 .phtml/.php5 绕过解析）
隐藏PHP标识与强化会话安全
减少指纹暴露，降低被针对性攻击的风险：
-
expose_php = Off（移除响应头中的
X-Powered-By: PHP/7.4.33） - session.cookie_httponly = On（防止JS读取 session cookie）
-
session.cookie_secure = On（仅HTTPS传输cookie，配合反向代理需设
proxy_set_header X-Forwarded-Proto $scheme;） - session.cookie_samesite = Strict（防御CSRF，若业务需跨域提交表单可改为 Lax）
