ApacheHTTPD mod_suexec、safe_mode、open_basedir

Question

由于 Debian 开发人员认为 safe_mode（不会出现在 PHP6 中）和 open_basedir 本质上是破坏安全措施的，我想知道是否可以考虑用 mod_suexec 和 mod_fcgid 的组合来替代它们。您认为这有效吗？

诚挚的问候，本杰明。

Answer 1

我建议，在文件系统中给定适当的文件权限的情况下，使用suexecwith PHP 来替换 是可以接受的safe_mode。这只是因为您允许文件系统阻止文件访问，而不是让 PHP 为您执行此操作，这被认为是错误的，因此从 PHP 5.4 开始被删除。

open_basedir确实存在一些导致其无法使用的问题，比如与符号链接替换相关的严重竞争条件，因此它可能不应该被使用。我不知道它是否会从 PHP 中删除，而且我认为他们有一天会尝试收紧它。我不会依赖它。 suexec但是并不能解决这个问题。例如，如果您想阻止 PHP 脚本访问/etc/passwd，则没有什么suexec可以阻止它，因为这始终是一个世界可读的文件。 open_basedir如果不是因为那个讨厌的竞争条件，可能会阻止这种情况发生。我认为这并不能解决suexec这个问题，而且我不确定除了以chroot某种方式使用之外还有什么可以解决这个问题。