PHP安全：如何阻止加载PHP进程可写或可拥有的PHP文件？

这确实是PHP安全领域里相当棘手的问题——毕竟PHP解释器只需要读取权限就能执行脚本，要彻底阻断不可信代码的加载，得从文件权限管控、PHP配置、运行时检测这几个维度组合发力，以下是具体的可行方案：

1. 底层文件系统权限加固（核心基础） #

这是最根源的防护手段，直接从文件所有权和权限入手：

• 让PHP进程的运行用户（比如www-data）绝对不是网站文件的所有者。建议把文件所有者设为独立的管理用户（比如deploy），PHP进程用户仅拥有只读权限。示例命令：

  # 将网站目录所有者设为管理用户deploy
  chown -R deploy:deploy /var/www/html
  # 给PHP进程用户分配只读权限
  chmod -R 755 /var/www/html
  

  这样一来，PHP进程既无法修改现有文件，也不能创建新文件，从根本上切断了“执行自己可写入的文件”的可能性。
• 动态生成的文件（如缓存、上传文件）必须放在非Web可访问目录，或者通过Web服务器/PHP配置禁止解析该目录下的PHP脚本（比如用php_admin_flag engine off）。

2. 利用PHP配置与扩展强化管控 #

• open_basedir 限制：在php.ini或虚拟主机配置中设置open_basedir，约束PHP只能访问指定目录，避免加载其他路径的可疑文件。示例配置：

  open_basedir = /var/www/html:/tmp
  

• 权限隔离运行环境：如果使用SuPHP或PHP-FPM，可为每个站点配置独立的运行用户，进一步隔离权限，防止单个站点的漏洞扩散。比如PHP-FPM池配置：

  user = site1_user
  group = site1_group
  

• Suhosin扩展增强：虽然Suhosin的维护不如从前，但它提供的suhosin.executor.include.whitelist可以严格限制PHP仅加载指定路径的文件，拒绝所有未在白名单内的文件加载请求。

3. 自定义运行时检测脚本 #

如果需要更精细化的控制，可以在PHP入口文件中加入自定义检测逻辑，在加载文件前验证其权限和所有者：

function check_file_safety($file_path) {
    // 获取文件所有者ID
    $file_owner = fileowner($file_path);
    // 获取当前PHP进程的运行用户ID
    $current_user = posix_getuid();
    
    // 禁止加载归PHP进程用户所有的文件
    if ($file_owner === $current_user) {
        die("安全拦截：禁止加载归PHP进程用户所有的文件 -> $file_path");
    }
    
    // 禁止加载PHP进程可写入的文件
    if (is_writable($file_path)) {
        die("安全拦截：禁止加载PHP进程可写入的文件 -> $file_path");
    }
}

// 在加载文件前调用检测（可结合auto_prepend_file全局注入）
$target_file = '/path/to/target/script.php';
check_file_safety($target_file);
include $target_file;

要覆盖所有文件加载场景，可以通过定义自定义函数替代原生include/require，或者利用PHP的auto_prepend_file配置全局注入检测逻辑。

4. 服务器层面的强制防护 #

• SELinux/AppArmor 强制访问控制：启用这类MAC系统，在操作系统层面限制PHP进程的行为，即使文件权限配置有疏漏，也能阻止PHP写入或执行特定文件。比如配置SELinux规则，让PHP进程仅能读取Web目录，禁止写入操作。
• Web服务器配置拦截：在Nginx/Apache中设置规则，禁止执行特定目录（如上传目录）下的PHP文件：

  location /uploads {
      php_admin_flag engine off;
      deny all;
  }
  

需要注意的是，单一措施很难做到万无一失，建议组合使用上述方案，并定期审计文件权限和PHP进程行为，维持安全状态。

内容的提问来源于stack exchange，提问作者Jaco Kroon