php网站如何建立优化安全？关键配置技巧分享！

发布日期： 2025-12-10 阅读量： 作者： admin

昨天搞到凌晨两点，就为给公司那个老破小PHP站加把安全锁。这堆配置技巧你们可得存都是我踩坑踩出来的经验。

先把地基夯瓷实

服务器直接开了个新虚拟机，宝塔面板装完第一件事就是改端口。8888这种默认端口跟举着牌子喊"来黑我"没区别。顺手把测试用的phpmyadmin入口直接删了——这玩意儿留个空目录都嫌多余。

本以为开了PDO预处理就稳了，结果半夜翻日志发现个诡异请求：有个瘪三在搜索框连续塞了十几行union select 1,version()。赶紧把$_GET和$_POST全撸了一遍：

核心就三行代码：

加完还觉得不踏实，索性把error_reporting调成0，错误日志单独存加密文件夹里。

上周运营部小妹点了个"抽iPhone"链接，后台会话直接被劫持。现在所有cookie全上了httponly和secure双保险：

表单更狠，每次生成埋个csrf_token，提交先验指纹。上传图片那块还添了mime类型白名单，什么.*的妖魔鬼怪直接挡门外。

在服务器crontab塞了这行：
0 3 /usr/sbin/logrotate -f /etc/*

日志文件超过50MB自动切割压缩，既省硬盘又能防攻击者扫尾。

现在每天早高峰前手动查系统进程，看见不是apache或mysql的陌生进程直接kill。昨天还逮着个伪装成php-fpm的挖矿程序，这年头连服务器都得当朝阳群众使。