禁用危险函数、关闭错误显示、启用HTTPS、权限隔离、安装Suhosin、部署WAF、定期更新。通过配置php.ini禁用exec、system等函数，防止代码执行；设置display_errors=Off避免敏感信息泄露；启用OpenSSL并强制HTTPS传输；PHP-FPM以低权限用户运行，限制上传目录执行PHP；可选安装Suhosin增强输入过滤；部署ModSecurity或云WAF防御注入攻击；保持PHP版本更新，最小化扩展安装，全面提升Web安全防护能力。
安装PHP安全防护工具和进行安全加固，主要是通过配置PHP运行环境、限制危险函数、设置访问控制以及使用第三方防护机制来提升Web应用的安全性。以下是一套实用的配置方法，适用于Linux系统下的常见LAMP或LNMP环境。
1. 禁用危险PHP函数
某些PHP内置函数容易被攻击者利用执行恶意代码，应通过php.ini文件禁用。
编辑php.ini文件：找到并修改以下配置项：
- disable_functions = exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chmod,chown,chgrp
这些函数常用于命令执行或文件操作，禁用后可大幅降低远程代码执行风险。修改完成后重启Web服务（如Apache或Nginx）和PHP-FPM。
立即学习“PHP免费学习笔记（深入）”；
2. 关闭错误信息显示
线上环境中显示PHP错误信息可能暴露服务器路径、数据库结构等敏感信息。
在php.ini中设置：
- display_errors = Off
- log_errors = On
- error_log = /var/log/php_error.log
确保错误记录到日志文件，便于排查问题，同时不向用户暴露细节。
3. 启用OpenSSL与安全传输
确保PHP支持HTTPS通信，避免数据在传输过程中被窃取。
- 确认php.ini中已启用openssl扩展：extension=openssl
- 使用cURL时强制验证证书，避免中间人攻击
部署网站时配合SSL证书，强制使用HTTPS访问关键页面。
4. 配置PHP运行权限隔离
避免PHP以高权限账户运行，防止文件系统被恶意篡改。
- 将PHP-FPM配置为使用独立低权限用户（如www-data）运行
- 设置上传目录不可执行PHP脚本（通过Web服务器配置）
例如在Nginx中添加：
location ~* /uploads/.*\.php$ {
deny all;
}
5. 安装Suhosin增强防护（可选）
Suhosin是PHP的高级安全补丁，提供输入过滤、缓冲区保护等功能。
Debian/Ubuntu系统安装方法：
- sudo apt-get install php-suhosin
- 安装后自动加载，无需手动启用
CentOS需通过EPEL源或源码编译安装。安装后可在php.ini中配置策略，如限制POST大小、变量数量等。
6. 使用WAF（Web应用防火墙）辅助防护
部署ModSecurity等开源WAF，结合规则集（如OWASP CRS）拦截SQL注入、XSS等攻击。
- Apache：启用mod_security模块
- Nginx：编译时加入ModSecurity支持或使用OpenRASP
也可使用云WAF服务（如阿里云、腾讯云），快速实现基础防护。
7. 定期更新与最小化安装
保持PHP版本更新，及时修补已知漏洞。生产环境只安装必要扩展，减少攻击面。
- 关闭expose_php = On，防止头部泄露PHP版本
- 删除未使用的扩展（如xmlrpc、wddx等）
基本上就这些。合理配置PHP安全选项，结合服务器层面的防护，能有效抵御大多数常见攻击。关键是定期检查配置，不依赖单一手段。
