应限制PHP环境文件权限以提升安全性。首先将PHP文件设为644、目录设为755，敏感目录设为700；使用chown设置所有者为www-data；禁用exec、system等危险函数；配置open_basedir限制脚本访问范围；关闭expose_php和display_errors防止信息泄露。
如果您在配置PHP环境时需要限制文件的访问权限以增强服务器安全性，可能是因为默认设置允许了不必要的读写执行权限，导致潜在的安全风险。以下是针对PHP配置中文件权限设置与安全访问限制的解决方案。
本文运行环境：Dell PowerEdge R750，Ubuntu 22.04
一、调整文件和目录权限
正确设置文件和目录的权限可以防止未经授权的用户读取或修改敏感数据。通常，Web服务器只需要最低限度的权限来运行脚本。
1、使用chmod命令设置文件权限为644，确保所有者可读写，组和其他用户仅可读：chmod 644 /var/www/html/*.php。
立即学习“PHP免费学习笔记（深入）”；
2、将目录权限设置为755，允许所有者读、写、执行，组和其他用户仅读和执行：chmod 755 /var/www/html。
3、对于包含敏感信息的目录（如配置文件或上传目录），应限制为700或750：chmod 700 /var/www/html/config。
二、设置文件所有者和所属组
通过合理分配文件的所有者和所属组，可以进一步控制哪些进程或用户能够访问特定文件。
1、将PHP文件的所有者设为Web服务器运行用户（如www-data）：chown -R www-data:www-data /var/www/html。
2、对于需要写入权限的目录（如缓存或日志目录），明确指定组并赋予组写权限，同时保持其他用户无权限。
3、避免以root身份运行Web服务，防止因权限过高引发安全问题。
三、禁用危险的PHP函数
某些PHP内置函数可能被攻击者利用来执行系统命令或读取任意文件，应在配置中禁用这些高风险函数。
1、编辑php.ini文件：sudo nano /etc/php/8.1/apache2/php.ini。
2、查找disable_functions指令，并添加以下函数列表：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source。
3、保存更改后重启Web服务器：sudo systemctl restart apache2。
四、配置open\_basedir限制
使用open_basedir可限制PHP脚本只能访问指定目录中的文件，防止路径遍历攻击。
1、在php.ini中启用open_basedir，并设置允许的根目录：open_basedir = /var/www/html:/tmp。
2、若使用虚拟主机，可在Apache配置中为每个站点单独设置：php_admin_value open_basedir "/var/www/site1/:/tmp/"。
3、测试配置有效性，尝试访问受限目录外的文件应返回错误。
五、关闭PHP信息暴露
减少PHP对外暴露的信息量，有助于防止攻击者获取系统细节用于定向攻击。
1、编辑php.ini文件，将expose_php设置为Off：expose_php = Off。
2、禁用错误信息显示到浏览器端：display_errors = Off，同时开启日志记录：log_errors = On。
3、确保生产环境中不启用allow_url_fopen和allow_url_include：allow_url_fopen = Off。allow_url_include = Off。
