Apache2配置MPM Event与多PHP-FPM池的安全隔离问题咨询

嗨，我完全理解你现在的顾虑——从mpm_prefork切换到mpm_event来支持HTTP2后，原来靠不同vhost跑不同用户的隔离方式用不了，转而用多PHP-FPM池分用户，但socket的权限设置让你担心之前的安全隔离失效了对吧？

首先得明确为什么socket需要设置成www-data可访问：因为mpm_event模式下，Apache的所有worker进程都是以www-data用户运行的，它必须能读写PHP-FPM的socket才能把请求传递给对应的FPM池处理，这是请求转发的必要条件。

但你担心的“www-data进程能通过socket执行其他用户代码”的情况，其实不会发生，核心原因有这些：

• PHP-FPM池是严格以你配置的独立用户（比如你说的cloud用户）身份运行的，socket只是Apache和FPM之间传递请求的通道，实际执行PHP代码的是FPM池对应的用户进程，Apache的www-data进程根本不会参与代码执行环节，也就没法获取其他用户的执行权限。
• 你可以通过细化socket权限来进一步加固隔离：在每个PHP-FPM池的配置文件（比如/etc/php/8.1/fpm/pool.d/cloud.conf）里，设置socket的归属和权限：

  listen = /var/run/php/php8.1-fpm-cloud.sock
  listen.owner = cloud
  listen.group = cloud
  listen.mode = 0660
  

  然后把www-data用户添加到cloud组中：

  usermod -aG cloud www-data
  

  这样一来，只有cloud用户和属于cloud组的www-data能访问这个socket，其他用户或池的进程根本碰不到，隔离性就更扎实了。

另外，还有几个额外的安全措施可以强化隔离：

• 给每个PHP-FPM池设置security.limit_extensions = .php .php3 .php4 .php5 .php7，只允许执行指定后缀的脚本，防止恶意请求通过socket执行非PHP文件。
• 对敏感的应用（比如Nextcloud）可以启用FPM的chroot配置，让池进程只能访问自己的应用目录，彻底切断跨池的文件访问路径。
• 确保每个应用的文件权限正确：应用文件归属对应池用户（比如cloud:cloud），文件权限设为0640，目录设为0750，这样就算其他进程想越权访问也会被权限拦截。

总的来说，用多PHP-FPM池分用户的方式，配合合理的socket权限和文件权限配置，完全可以实现和之前mpm_prefork模式下一样的隔离效果，甚至更安全。

备注：内容来源于stack exchange，提问作者Paul Schulz