介绍
创新互联坚持“要么做到，要么别承诺”的工作理念，服务领域包括：成都网站建设、成都网站设计、企业官网、英文网站、手机端网站、网站推广等服务，满足客户于互联网时代的朔州网站设计、移动媒体设计的需求，帮助企业找到有效的互联网解决方案。努力成为您成熟可靠的网络建设合作伙伴！
PHP即“超文本预处理器”，是一种通用开源脚本语言。PHP是在服务器端执行的脚本语言，与C语言类似，是常用的网站编程语言。根据动态网站要求，PHP语言作为一种语言程序，其专用性逐渐在应用过程中显现，其技术水平的优劣与否将直接影响网站的运行效率。其特点是具有公开的源代码， 在程序设计上与通用型语言，如C语言相似性较高，因此在操作过程中简单易懂，可操作性强。
下面你将找到有关 php.ini 文件的正确配置信息。
php.ini
下面的一些设置需要适应你的系统，特别是 session.save_path， session.cookie_path （例如： /var/www/mysite），和 session.cookie_domain （例如：ExampleSite.com）。
你还应该运行 PHP 7.2 或者更高版本。如果你运行的版本是 PHP 7.0 和 PHP 7.1 ，你将在下面的几个地方使用略有不同的值（看内联的注释）。
最后，查看 PHP 文档 以获得关于 php.ini 配置文件中每个值的参考。
你可以在一个现成的 php.ini 文件中找到以下配置的副本 此处 。
PHP 错误处理
expose_php = Off error_reporting = E_ALL display_errors = Off display_startup_errors = Off log_errors = On error_log = /valid_path/PHP-logs/php_error.log ignore_repeated_errors = Off
请注意：你需要在生产环境中 display_errors 设置成 Off， 同时最好养成经常查看这些日志的好习惯。
PHP 通用设置
doc_root = /path/DocumentRoot/PHP-scripts/ open_basedir = /path/DocumentRoot/PHP-scripts/ include_path = /path/PHP-pear/ extension_dir = /path/PHP-extensions/ mime_magic.magicfile = /path/PHP-magic.mime allow_url_fopen = Off allow_url_include = Off variables_order = "GPCS" allow_webdav_methods = Off session.gc_maxlifetime = 600
allow_url_* 很容易发生 LFI 还有 RFI 完全漏洞。
PHP 上传文件处理
file_uploads = On upload_tmp_dir = /path/PHP-uploads/ upload_max_filesize = 2M max_file_uploads = 2
如果你的应用没有使用文件上传功能，或者说用户唯一的输入上传的方式是通过没有包含文档附件的表单提交， file_uploads 应当被设置成 Off。
PHP 可执行处理
enable_dl = Off disable_functions = system, exec, shell_exec, passthru, phpinfo, show_source, highlight_file, popen, proc_open, fopen_with_path, dbmopen, dbase_open, putenv, move_uploaded_file, chdir, mkdir, rmdir, chmod, rename, filepro, filepro_rowcount, filepro_retrieve, posix_mkfifo # 请查看：http://ir.php.net/features.safe-mode disable_classes =
以上是 PHP 中存在危险的方法和类.。你应当禁用其中不会使用到的方法和类。
PHP session 处理
Session 设置中有一些需要重点关注的值， 将 session.name 改成新的是个很好的练习.
session.save_path = /path/PHP-session/ session.name = myPHPSESSID session.auto_start = Off session.use_trans_sid = 0 session.cookie_domain = full.qualified.domain.name #session.cookie_path = /application/path/ session.use_strict_mode = 1 session.use_cookies = 1 session.use_only_cookies = 1 session.cookie_lifetime = 14400 # 4小时 session.cookie_secure = 1 session.cookie_httponly = 1 session.cookie_samesite = Strict session.cache_expire = 30 session.sid_length = 256 session.sid_bits_per_character = 6 # PHP 7.2+ session.hash_function = 1 # PHP 7.0-7.1 session.hash_bits_per_character = 6 # PHP 7.0-7.1
更多的安全隐患的检查
session.referer_check = /application/path memory_limit = 50M post_max_size = 20M max_execution_time = 60 report_memleaks = On track_errors = Off html_errors = Off
以上就是OWASP 维护的 PHP 安全配置速查表的详细内容，更多请关注创新互联其它相关文章！
