极致安全的PHP生产环境需坚持“默认拒绝、层层收缩、彼此隔离”契约：必须同步落实低权限用户运行、精准禁用危险函数、强制环境隔离三件事，缺一不可；须配置open_basedir、关闭expose_php与display_errors、禁用远程加载，并对上传目录禁止PHP执行。
要打造极致安全的PHP生产环境，核心不是堆砌工具，而是建立一套“默认拒绝、层层收缩、彼此隔离”的运行契约。权限控制、禁用危险函数、独立环境这三件事必须同步落地，缺一不可——只禁函数不控权限，攻击者拿到shell仍可横行；只设权限不封函数，一个eval就能绕过所有目录限制；只做隔离不固化配置，重启后可能瞬间退回到高危状态。
用低权限用户运行PHP进程
PHP绝不应以root或高权限系统账户运行。必须为每个应用创建专属低权限用户（如app-user），并确保其shell为/usr/sbin/nologin：
- Nginx + PHP-FPM场景：在pool配置中明确设置user = app-user和group = www-data
- Apache模块场景：通过mpm_prefork或mpm_event配置User/Group指令指定非特权用户
- 验证方式：执行ps aux | grep php-fpm，确认worker进程属主是目标用户，而非root或www-data本身
精准禁用危险函数，分层裁剪不误伤
disable_functions不是越长越好，而是按风险类型分层禁用，并剔除业务真实依赖项：
- 命令执行类（必禁）：system, exec, shell_exec, passthru, popen, proc_open, pcntl_exec, dl
- 动态代码类（必禁）：eval, assert, create_function, call_user_func, call_user_func_array, preg_replace（含/e修饰符风险）
- 文件操作类（按需收紧）：show_source, highlight_file, symlink, link, parse_ini_file, chmod, chown, chgrp, unlink, rmdir；若业务需copy/rename上传文件，保留但须配合路径白名单校验
- 信息泄露类（必禁）：phpinfo, php_uname, getmyuid, getmypid, getcwd, diskfreespace
注意：函数名之间严格用英文逗号分隔、无空格；修改后必须重启对应服务（如systemctl restart php8.1-fpm），并用php -r "echo ini_get('disable_functions');"验证生效。
立即学习“PHP免费学习笔记（深入）”；
强制环境隔离与配置固化
避免“一套配置跑所有环境”，生产环境必须做到物理或逻辑隔离：
- 容器化首选官方镜像：使用dunglas/frankenphp等预加固镜像，它已启用php.ini-production、关闭display_errors、禁用危险函数
- 密钥绝不走环境变量：将数据库密码、API密钥等写入宿主机/etc/secrets/app.key（权限600），容器内以:ro方式挂载到/run/secrets/下，PHP中用file_get_contents('/run/secrets/app.key', LOCK_EX)读取
- 禁止Caddy覆盖安全头：FrankenPHP默认开启security_headers中间件，会静默覆盖应用层设置的X-Frame-Options等头，必须在Caddyfile站点块顶部显式添加security_headers off
- Worker模式资源严管：启用worker后，PDO连接、Redis客户端、静态变量跨请求复用，必须启用PDO::ATTR_PERSISTENT并禁用框架自动close；监控memory_get_peak_usage(true)与连接数变化，及时定位泄漏点
叠加路径限制与日志审计
禁函数+控用户只是基础，还需用路径隔离和可追溯机制堵住旁路：
- 设置open_basedir = /var/www/html:/tmp:/var/log，多个路径用冒号分隔，确保覆盖上传、缓存、日志所需路径
- 关闭expose_php = Off、display_errors = Off，开启log_errors = On并指定error_log = /var/log/php_errors.log
- 禁用远程加载：allow_url_fopen = Off、allow_url_include = Off
- 上传目录禁止执行PHP：location ~* /uploads/.*\.php$ { deny all; }（Nginx）或SetHandler none（Apache）
