将Apache文档根目录移出/var/www的安全影响及可行性问询

你的这个符号链接部署思路其实是运维圈里很常用的实践——既能快速切换部署版本、方便回滚，又能统一管理共享目录里的站点内容，安全性方面只要做好关键配置，完全是可行的。下面我从几个核心点帮你拆解风险和注意事项：

一、权限配置是安全的核心防线 #

你提到www-data仅拥有/srv/SHARED/sites/DOMAIN/live内所需文件/目录的权限，整个/srv/SHARED归群组所有——这个权限隔离的思路非常正确，但要注意几个细节：

• 确保/srv/SHARED及其上层目录（比如/srv/SHARED/sites）的权限设置严格限制www-data的访问：不能让www-data拥有这些目录的遍历权限（execute位），只能让它能访问到/srv/SHARED/sites/DOMAIN/live这条精准路径。举个例子，/srv/SHARED可设为750（群组可读可写可执行，其他用户无任何权限），/srv/SHARED/sites同理，只有/srv/SHARED/sites/DOMAIN/live给www-data设置必要的读权限（静态文件640，目录750）。
• 除非你的应用明确需要（比如用户上传目录），否则绝对不要给www-data任何目录的写权限，防止Web服务器被攻陷后篡改文件或横向遍历其他敏感目录。

二、Apache的符号链接安全配置要到位 #

Apache默认对符号链接有安全限制，你需要确保站点配置符合以下要求：

• 检查站点配置文件中的Options指令，建议使用FollowSymLinks（适配你的部署回滚场景），如果符号链接和目标目录的所有者一致，也可以用更严格的SymLinksIfOwnerMatch。绝对不要开启Indexes选项，否则攻击者可能通过目录遍历发现符号链接的目标路径，甚至浏览到其他目录内容。
• 用<Directory>指令精准限制Apache的访问范围，避免越权。示例配置如下：

  <Directory "/srv/SHARED/sites/DOMAIN/live">
      Require all granted
      Options FollowSymLinks
      # 如果是静态站点，可以禁用不必要的脚本引擎，比如：
      # php_flag engine off
  </Directory>
  

三、符号链接本身的风险规避 #

符号链接本身不会带来额外安全风险，但要避免人为操作失误或权限滥用：

• 绝对不要让www-data拥有创建、修改符号链接的权限，防止攻击者篡改链接指向敏感目录（比如/etc或/home）。部署脚本应该用拥有/srv/SHARED权限的群组用户来操作符号链接，而非Web服务器用户。
• 符号链接的目标路径务必使用绝对路径，避免相对路径导致的歧义（比如部署脚本更新时出错，让链接指向了错误的目录）。

四、多域名托管的额外隔离要求 #

因为你要托管多个域名，必须确保每个站点的资源完全隔离：

• 每个域名的站点配置文件要明确指定对应的DocumentRoot，并且用<Directory>指令严格限制到各自的live目录，杜绝跨站点访问的可能。
• 不同站点的目录不要共享任何权限，每个站点的文件都应该属于独立的子目录，且只有对应站点的配置能访问到它。

总结 #

只要你严格落实上述权限控制和Apache配置，这个方案是完全适合且安全的。它既满足了快速部署、回滚的运维需求，又能通过多层权限隔离有效防止Web服务器越权访问敏感内容，是一种成熟的站点部署架构。

内容的提问来源于stack exchange，提问作者MultiDev