Linux下PHP开发环境搭建实战指南

　　扫描结果出来那一刻，我正盯着门禁一直在嘀——不是警报，就是那种卡顿半秒又重发的嘀，跟漏扫引擎吐报告前的缓冲一模一样。李工在隔壁工位突然吼了句“PHP-FPM没配pool隔离？”，我手一抖把咖啡泼在键盘上，热咖啡渗进键缝那股焦糊味，比去年国庆节复盘会上闻到的更冲。

　　“Linux下PHP开发环境搭建实战指南”——这标题能活下来，真就靠优胜劣汰。不是因为写得多好，是去年国庆节前后那波整改单砸得太密，补丁打到第三轮时，运维老张自己把那本PDF打印出来钉在机柜侧面，边贴边说：“哪个版本没加opcache验证，哪个配置漏了disable_functions，我就撕一页。”后来撕到第十七页，纸卷边儿都毛了，但漏扫通过率从42%涨到89%，剩下那11%？不细说。反正最后剩的全是“已知不处置”项，标红备注写着“业务方确认承担风险”，字是王总监亲手签的。

　　我原以为把php.ini里display_errors关了、error_log指向/dev/null就算加固到位。结果那天复现漏扫报的“PHP信息泄露”，发现日志居然还在/var/log/apache2/error.log里留着完整堆栈——不是没配，是apache和fpm用了两套日志路由，中间差了层supervisord的stdout重定向，谁也没想到它默认把stderr全喂给了syslog。老张查了三天，最后改的是rsyslog.conf里的$ActionFileDefaultTemplate，不是PHP配置。窗外下了一下午雨，水珠在玻璃上拉出歪斜的痕，像那段没打上的补丁路径。

　　打印机在吐纸。A4纸边角都卷了，是等保二级整改验收表的附页，第5.3.2条要求“开发环境与生产环境逻辑隔离”，我们拿KVM虚机跑本地PHP，IP段划得比财务报销单还细，结果WAF日志里翻出十几次“/phpinfo.php”的爬虫试探，来源全是研发内网的几个IP——查完是实习生用Docker Compose拉了个带phpinfo的测试镜像，顺手挂了80端口，还配了host.docker.internal域名解析……不细说。站长个人见解，最后封的不是端口，是那个CI流水线里被注释掉的“# DO NOT PUSH TO DEV”。

　　茶水间的灯没关。上周四晚上十一点我路过，亮着。进去灌水时听见IT支持小刘在打电话：“对，就是那个装PHP7.4但编译时没加--with-openssl的旧镜像……嗯，他们说‘先跑通就行’……我知道，可它漏扫过不了啊。”他挂了电话转身看见我，直接把手里那张“已确认低危不处置”的绿标单子揉成团扔进桶里。桌上那台旧笔记本风扇响得特别凶，是王总监去年领的，硬盘灯一直狂闪，也不知道在同步啥。

　　优胜劣汰不是选谁强，是淘汰所有“差不多就行”。比如某次整改单里写“需确保session.cookie_httponly=On”，开发回邮件说“已设”，我们去现场连SSH一查，是设了，但底下紧跟着一句“; session.cookie_secure = Off”被注释掉了——没人告诉他secure必须配合HTTPS才生效，而他们本地Nginx根本没配SSL证书。那行注释是2022年11月某次合并冲突时留下的，三年没动过。这种细节，漏扫工具标不出来，人工也懒得翻。只能等撞库扫出来真实账号再倒推。

　　谁的电脑弹了更新提示。是小杨的Mac，右下角飘着“PHPStorm 2024.2 update available”，他点否，顺手切回PhpStorm里正在写的那个自定义error handler，里面居然硬编码了$_SERVER['DOCUMENT_ROOT']拼接路径——我问他为啥不用__DIR__，他回：“以前同事写的，跑十年没出事。”我盯着那行代码看了三分钟，没说话。后来我们把整个dev环境的open_basedir给锁死了，结果第二天QA报bug：某个测试用例的mock文件读取失败。查原因？原来mock路径在/home/tester下，不在open_basedir指定的/www/html:/tmp:/var/log里。最后放开的是/tmp，没动别的。这就是优胜劣汰——不是方案多牛，是能活下来的，全是在刀锋上反复校准过呼吸节奏的。

　　业务方与上线压力。这话别当面讲，但每次压测压到一半，DBA老赵总在监控屏后头叹气：“又来？这次还是抢在零点前上线？”他面前屏幕上MySQL的Innodb_row_lock_time_ms正往上跳，而我们这边刚在php-fpm慢日志里揪出一段递归include。他摇摇头，没骂人，只是默默调高了slowlog超时阈值——从10s改到30s。这动作他做了七次。第七次之后，我们不再等慢日志报警，直接看GC日志里full GC频次。有些东西，真的不细说。

　　我今天重跑了下那份指南的漏扫基线，pass率还是89%。剩下11%里，有3个是PHP扩展启用了危险函数，但业务说“微信支付SDK依赖它”，我们让法务写了豁免说明；还有2个是日志中暴露了绝对路径，开发改了两天，最后发现是Composer autoload生成的缓存文件在报错——他们删了vendor/autoload.php再重装，结果vendor目录权限变成了777。所以现在我们不改配置，只定期清缓存。至于能不能扛住下一轮爬虫？我不敢打包票。但至少现在，扫描器进度条走得很慢，慢到够我们喝完一杯冷掉的咖啡，再决定要不要手动点下“终止扫描”。

文章配图，仅供参考

　　先这么着。下周一我约了开发对齐SAST集成节点，你们谁有现成的phpcs规则集，别发GitHub链接，直接给.sarif文件，加密压缩包，密码私聊。对了，老张昨天把机柜上那本指南撕剩最后两页，说下个月等新版PHP发布，他打算换成电子屏循环播放——就挂在监控大屏右下角，跟告警弹窗并排。我觉得可以。

（编辑：PHP编程网 - 钦州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!