Day: 2019年3月29日

为PHP-FPM和nginx设置多个进程池而安全地运行多个网站

在本文中，我们将向您展示在不同Linux用户的LEMP上运行站点的安全性和隔离性优势。这将通过为每个nginx服务器块（站点或虚拟主机）创建不同的php-fpm进程池来完成。

设置安全LEMP的原因

在常见的LEMP设置下，只有一个php-fpm进程池为同一用户下的所有站点运行所有PHP脚本。这带来两个主要问题：

• 如果一个nginx服务器块上的Web应用程序（即子域或单独的站点）受到攻击，此服务器上的所有站点也将受到影响。攻击者能够读取其他站点的配置文件，包括数据库详细信息，甚至可以更改其文件。
• 如果您想让用户访问服务器上的站点，您几乎可以访问所有站点。例如，您的开发人员需要处理开发环境。但是，即使拥有非常严格的文件权限，您仍然可以在相同的服务器上访问所有站点，包括您的主站点。

让我们看看这两个Nginx配置：

server {
    listen         80;
    server_name    example.com;
    location / {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_param SCRIPT_FILENAME  /var/www/html/site1/i.php;
        fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root:/var/www/html/site1:/tmp/:/proc/"; #禁止跨目录访问 
        include fastcgi_params;
    }
}
server { 
    listen         80;
    server_name    example.net;
    location / {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_param SCRIPT_FILENAME  /var/www/html/site2/i.php;
        include fastcgi_params;
    }