117笔记问答Ubuntu PHP-FPM的安全设置主要包括以下几个方面：
- 屏蔽PHP错误输出：
- 在
/etc/php.ini（默认配置文件位置），将display_errors设置为Off，不要将错误堆栈信息直接输出到网页上，防止黑客加以利用。
- 屏蔽PHP版本：
- 将
expose_php设置为Off，避免在错误页面或响应头中显示PHP版本信息。
- 关闭全局变量：
- 将
register_globals设置为Off，防止表单提交的数据被自动注册为全局变量，减少脚本注入危险。
- 文件系统限制：
- 使用
open_basedir限制PHP可以访问的系统目录，防止非法访问。
- 禁止远程资源访问：
- 将
allow_url_fopen和allow_url_include设置为Off，禁止通过URL访问本地资源。
- Suhosin扩展：
- 安装Suhosin扩展，它是一个PHP程序的保护系统，可以抵御缓冲区溢出或格式化串的弱点。
- 配置PHP-FPM监听地址：
- 默认情况下，PHP-FPM会监听
127.0.0.1:9000。为了提高安全性，可以将其修改为只监听本地连接，例如127.0.0.1:9000。
- 配置PHP-FPM用户和用户组：
- 建议使用非root用户运行PHP-FPM，以提高安全性。
- 配置日志文件：
- 可以编辑
/etc/php/{version}/fpm/php-fpm.conf文件，找到error_log配置项，根据需要修改日志文件的位置或名称。
- 定期更新和维护：
- 定期更新PHP和PHP-FPM到最新版本，并订阅安全公告，及时应用安全补丁。
- 使用防火墙：
- 配置防火墙允许外部访问PHP-FPM（如果需要），例如使用
sudo ufw allow 'Apache Full'。
- 配置Nginx与PHP-FPM的连接：
- 在Nginx的配置文件中添加正确的配置段，将Nginx与PHP-FPM连接起来。
请注意，上述信息提供了Ubuntu系统中PHP-FPM的安全设置指导。然而，具体的配置步骤和要求可能会因不同的Ubuntu版本、PHP版本以及具体的Web服务器（如Nginx或Apache）而有所差异。因此，在实际操作中，建议参考相关的官方文档或寻求专业人士的帮助，以确保配置的正确性和安全性。此外，安全问题是一个持续的过程，需要定期审查和更新安全策略以应对新出现的威胁。