PHP 安全配置兩大核心支柱：Web 伺服器與 PHP 本身

支柱一：Web 伺服器層面的纏深防禦

1. 作業系統與 Web 伺服器基線

PHP 以模組形式運行於 Web 伺服器（本文以 Apache 為例），伺服器安全的前提是作業系統安全。建議採用 chroot 監獄 啟動 Apache，將進程限制在獨立目錄樹中。即使 PHP 腳本或 Apache 本身存在漏洞，攻擊者也只能觸及受限環境，無法危害宿主系統。

2. chroot 環境下的適配細節

• MySQL 連線：無法使用 localhost Unix Socket，必須改用 127.0.0.1 TCP 連線，效能微幅下降但安全性大增。
• 郵件發送：php.ini 預設 SMTP = localhost 僅針對 Win32；chroot 內需獨立配置 sendmail 路徑與權限。
• 檔案系統：僅掛載必要目錄（如 /tmp、/var/lib/php/session），採用 nosuid,noexec,nodev 掛載參數。

支柱二：PHP 核心層已知漏洞清單與升級強制令

經典利用回顧（僅供防禦理解）

4.0.5 簡單利用：mail("evil@domain.com", "", "", "", "; /usr/bin/id") 直接注入 Shell 命令。
4.0.6~4.2.2 利用 sendmail -C：構造偽造郵件配置檔，通過 mail(..., "-C/tmp/fake_cf") 實現任意命令執行。

強制行動清單

1. 立即升級：所有受影響版本務必升級至當前積極支援分支（PHP 8.2+）。
2. 移除舊版：伺服器殘留的舊 PHP 二進制檔一律刪除，防止路徑劫持。
3. 禁用危險函數：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,mail,putenv（視業務保留 mail）。
4. 啟用 open_basedir：限制腳本存取路徑，open_basedir = /var/www/html:/tmp:/var/lib/php/session。
5. 部署 WAF/IDS：ModSecurity + OWASP CRS 攔截已知攻擊載荷。

結語

安全非一次性配置，而是持續的過程：最小權限原則 + 及時修補 + 深度防禦 + 入侵檢測。將「升級到最新受支援版本」寫入團隊 SOP，是成本最低、收益最高的安全投資。