PHP 敏感配置信息洩露風險與最佳防護方案

問題背景

PHP 項目中，數據庫連接信息（主機、用戶名、密碼）、API 密鑰等敏感配置常直接寫在代碼倉庫的配置文件中：

<?php
return [
    'database' => [
        'host'     => '192.168.0.1',
        'user'     => 'administrator',
        'password' => 'e1bfd762321e409cee4ac0b6e841963c',
    ],
];

當代碼需提交版本控制、進行代碼審查或第三方協作開發時，這些敏感信息極易洩露。

核心解決思路：配置與代碼分離

將敏感值從代碼中移除，改由運行環境注入。主流方案有三種：

方案一：Nginx fastcgi_param 注入

在 Nginx 配置中定義環境變量：

fastcgi_param DATABASE_HOST 192.168.0.1;
fastcgi_param DATABASE_USER administrator;
fastcgi_param DATABASE_PASSWORD e1bfd762321e409cee4ac0b6e841963c;

PHP 代碼讀取 $_SERVER：

<?php
return [
    'database' => [
        'host'     => $_SERVER['DATABASE_HOST'],
        'user'     => $_SERVER['DATABASE_USERNAME'],
        'password' => $_SERVER['DATABASE_PASSWORD'],
    ],
];

缺點： 每次請求傳遞大量環境變量增加 FastCGI 通訊開銷；僅對 Web 請求生效，CLI 模式無效。

方案二：PHP-FPM env 指令注入

在 php-fpm.conf 主配置文件中設置（不能放在 include 的子配置文件中，否則報錯 Array are not allowed in the global section）：

env[DATABASE_HOST] = 192.168.0.1
env[DATABASE_USERNAME] = administrator
env[DATABASE_PASSWORD] = e1bfd762321e409cee4ac0b6e841963c

PHP 同樣通過 $_SERVER 讀取（注意：雖用 env 設置，但實際在 $_SERVER 而非 $_ENV）。

優勢： 不增加 Nginx-PHP 通訊數據量；進程啟動時一次性注入。

方案三：專用擴展 hidef (鳥哥推薦)

使用 hidef 擴展定義常量，編譯期常量，性能最高，且不佔用運行時內存：

; php.ini 或 hidef.ini
hidef.ini_path = /path/to/hidef.ini

; hidef.ini
DATABASE_HOST = "192.168.0.1"
DATABASE_USER = "administrator"
DATABASE_PASSWORD = "e1bfd762321e409cee4ac0b6e841963c"

PHP 代碼直接使用常量：

<?php
return [
    'database' => [
        'host'     => DATABASE_HOST,
        'user'     => DATABASE_USER,
        'password' => DATABASE_PASSWORD,
    ],
];

CLI 模式兼容方案

上述方案僅對 Web (FPM) 生效。CLI 腳本需額外處理：

<?php
// common/bootstrap.php
if (PHP_SAPI === 'cli') {
    // 解析 Nginx 或 PHP-FPM 配置文件，提取環境變量映射到 $_SERVER
    $config = parse_ini_file('/etc/php-fpm.d/www.conf'); // 或 nginx 配置
    foreach (['DATABASE_HOST', 'DATABASE_USER', 'DATABASE_PASSWORD'] as $key) {
        if (isset($config['env'][$key])) {
            $_SERVER[$key] = $config['env'][$key];
        }
    }
}

關鍵安全提醒：禁用 phpinfo()

phpinfo() 會暴露極其詳細的服務器信息：

• PHP 精確版本、編譯參數、擴展列表
• 系統版本、路徑、環境變量（含敏感配置！）
• 數據庫連接信息、ODBC 設置、MySQL/Oracle 客戶端版本
• Web 服務器版本、模塊、路徑
• Windows 下：計算機名、安裝軟件路徑等

生產環境必須：

1. 刪除或重命名所有 phpinfo.php 文件
2. 在 php.ini 設置 disable_functions = phpinfo
3. Nginx/Apache 配置拒絕訪問可疑路徑

配置文件權限管理

將敏感配置移至 Nginx/PHP-FPM 配置後，需嚴格控制這些配置文件權限：

• 僅 root 可讀寫，www-data 僅讀
• 不納入版本控制
• 部署流程中通過加密配置管理工具（如 Vault、Sealed Secrets）分發

總結對比

最佳實踐清單

1. 代碼倉庫零敏感信息，配置文件僅含佔位符
2. 採用 PHP-FPM env + hidef 組合方案
3. 配置文件權限 600 root:root
4. 部署自動化，通過密管系統注入
5. 禁用 phpinfo()、var_dump() 等調試函數
6. 定期審計環境變量洩露風險