PHP-FPM生产安全基线共10项：必须隔离运行用户、禁用ondemand模式、启用open_basedir、禁用危险函数、私有化session路径、收敛请求体与超时、关闭错误显示、启用校验OPcache、隔离敏感环境变量、最小化监听权限。
PHP-FPM 是生产环境中 PHP 执行的核心服务，它不只负责解析代码，更是整个 Web 应用安全边界的守门人。配置不当的 PHP-FPM 可能导致进程越权、信息泄露、资源耗尽甚至远程命令执行。下面这 10 项配置不是“可选优化”，而是上线前必须逐项确认的硬性安全基线。
1. 运行用户与组必须隔离
PHP-FPM 进程不能以 root 或 www-data 这类通用系统用户运行。应为每个站点或业务域创建独立低权限用户（如 www-shop），并在 pool 配置中显式指定：
- user = www-shop
- group = www-shop
- 确保该用户无 shell 登录权限（
/sbin/nologin）、无 sudo 权限、主目录不可写 - 对应网站根目录的所有者和组也应设为该用户，避免跨站读取
2. 禁用动态子进程管理（慎用 ondemand）
ondemand 模式虽省资源，但启动时 fork 行为易被滥用触发 DoS，且进程生命周期不可控。生产环境推荐固定进程模型：
- 使用 static 或 dynamic 模式
- pm.max_children 设为合理上限（建议按内存估算：总内存 ÷ 单进程平均内存 ≈ 80% 使用率）
- pm.start_servers 和 pm.min_spare_servers 需匹配实际并发预期，避免频繁启停
3. 严格限制可访问文件路径（open_basedir）
即使 Web 目录权限已收紧，open_basedir 是防止 include/require 越界读取的最后一道屏障。必须在 pool 配置中启用：
立即学习“PHP免费学习笔记（深入）”；
- php_admin_value[open_basedir] = /var/www/shop:/tmp
- 值中只包含当前站点绝对路径 + 必需临时目录（如 session、upload、cache）
- 禁止留空或设为
/；禁用none或注释掉该行 - 注意：PHP 8.1+ 中 open_basedir 对 symlink 的限制更严格，需同步检查符号链接目标是否在白名单内
4. 关闭危险函数执行能力
disable_functions 不是“防黑客”，而是缩小攻击成功后的操作半径。应在全局 php.ini 或 pool 中统一设置：
- disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,dl
- 若项目不用 cURL 或 mail，可追加
curl_exec,mail - 注意：禁用函数对 Composer install、某些 SDK 初始化可能有影响，上线前需完整回归验证
5. 会话存储路径必须私有且不可 Web 访问
默认 session.save_path 指向 /var/lib/php/sessions，若未做权限隔离，任意 PHP 进程都可读写其他站点 session 文件：
- 为每个 pool 单独配置：php_admin_value[session.save_path] = /var/www/shop/sessions
- 该目录属主设为对应 pool 用户，权限 700
- Nginx 配置中确保
location ~ ^/sessions/返回 403，或直接将 sessions 放在 Web 根目录之外
6. 请求体大小与超时必须收敛
过大的 POST 或长连接会拖垮 FPM 进程，成为资源型攻击入口：
- php_admin_value[post_max_size] = 32M（根据业务需要设上限，非越大越好）
- php_admin_value[upload_max_filesize] = 20M
- request_terminate_timeout = 60s（防止慢速攻击耗尽 worker）
- request_slowlog_timeout = 10s 并配 slowlog 文件路径，便于定位卡顿请求
7. 错误输出必须关闭，日志必须独立且受控
display_errors = On 是生产环境最常见也最危险的配置错误之一：
- php_flag[display_errors] = off
- php_admin_value[error_log] = /var/log/php-fpm/shop-error.log
- 日志文件属主为 pool 用户，权限 600；所在目录不可被 Web 访问
- 搭配 log_level = warning，避免 debug 日志刷爆磁盘
8. OPcache 配置需启用且校验有效
OPcache 不仅提速，还间接提升安全性——缓存字节码可减少文件读取次数，降低因 include 路径污染导致的代码执行风险：
- 确认 opcache.enable=1 且 opcache.enable_cli=0
- opcache.validate_timestamps=0（生产环境关时间戳校验，但需配合部署清缓存流程）
- opcache.revalidate_freq=0 或设为较大值（如 300），避免高频 stat 开销
- 用
php -i | grep opcache和opcache_get_status()验证命中率 >95%
9. 环境变量与敏感信息必须隔离
通过 env[] 传递的变量若含密钥或数据库地址，可能被错误地输出到日志或响应头中：
- 禁用全局继承：clear_env = yes
- 仅显式透传必要变量：env[APP_ENV] = production、env[TZ] = Asia/Shanghai
- 数据库密码、API Key 等绝不可通过 env 传递，应由 .env 或 secret manager 加载
10. 监听方式与权限必须最小化
监听端口或 socket 的暴露方式直接影响攻击面：
- 优先使用 unix socket（如
listen = /run/php/php-shop.sock），而非 127.0.0.1:9000 - listen.owner 和 listen.group 设为 Nginx 运行用户（如 nginx）
- listen.mode = 660，禁止其他用户访问 socket 文件
- 若必须用 TCP，绑定至 127.0.0.1，防火墙禁止外部访问 9000 端口
每改一项，记得 reload PHP-FPM 并验证：sudo systemctl reload php-fpm，再用 ps aux | grep www-shop 确认进程用户、ls -l /run/php/ 查 socket 权限、curl -I http://yoursite/ 看响应头是否含 X-Powered-By、tail -f /var/log/php-fpm/shop-error.log 观察是否有警告。安全不是一次配置，而是每次变更后的确定性验证。
