FrankenPHP1.4生产部署怎么加固安全禁用危险函数-php教程-PHP中文网

frankenphp 1.4 生产禁用危险函数唯一有效方式是精准配置php.ini的disable_functions，需分层禁用命令执行、动态代码、高危文件操作及信息泄露类函数，并结合只读文件挂载密钥、关闭display_errors等加固项。

frankenphp1.4生产部署怎么加固安全禁用危险函数

FrankenPHP 1.4 生产部署中禁用危险函数，核心不是“加功能”，而是收缩 PHP 运行时能力边界——它本身不提供新安全开关，所有函数级控制仍依赖 php.ini 的 disable_functions，但必须结合 FrankenPHP 的运行模型做精准裁剪，否则易误伤或留空子。

✅ php.ini 中必须配置的 disable_functions（按风险分层）

disable_functions 是唯一生效入口，需在 php.ini-production 基础上追加。FrankenPHP 1.4 默认使用 /usr/local/etc/php/php.ini，修改后需重启服务（或 frankenphp stop-workers && caddy reload）。

命令执行类（绝对禁用）
防止任意命令执行、反弹 shell：
system, exec, shell_exec, passthru, popen, proc_open, pcntl_exec, dl
代码动态执行类（严格禁用）
阻断 eval 类绕过、反序列化链利用：
eval, assert, create_function, call_user_func, call_user_func_array, preg_replace

注意：preg_replace 含 /e 修饰符时可执行代码，PHP 7.3+ 已弃用但旧代码仍可能依赖，必须禁用。
文件系统操作类（按需收紧）
禁用非业务必需的高危操作，尤其避免目录遍历和权限篡改：
show_source, highlight_file, symlink, link, parse_ini_file, ini_restore, chmod, chown, chgrp, copy, rename, unlink, rmdir, mkdir

若项目需 copy() 上传临时文件或 rename() 移动附件，可保留，但须确保路径白名单校验（如限定在 /tmp/uploads/ 下）。
信息泄露类（生产环境必禁）
防止调试接口暴露服务器结构、版本、磁盘状态：
phpinfo, php_uname, getmyuid, getmypid, getmyinode, getcwd, diskfreespace, disk_free_space, disk_total_space

特别检查是否已禁用 phpinfo()：FrankenPHP 不拦截该函数，一旦被路由到 info.php 就全量泄露。

⚠️ FrankenPHP 特有风险点：不能只靠 disable_functions

禁用函数只是基础，FrankenPHP 的进程模型和配置方式会放大遗漏后果：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

getenv() 和 $_SERVER 不受 disable_functions 控制
即使禁用了 getenv，$_SERVER['DB_PASSWORD'] 仍可被读取。因此：
- 绝对不要通过环境变量传密钥（见下条）
- 禁用 putenv（加进 disable_functions）防止运行时污染
Worker 模式下全局变量残留更危险
若某次请求中 file_get_contents('/run/secrets/db.conf') 后把密码存进 static $db_pass，后续所有请求都可复用——此时禁用 file_get_contents 反而比禁用 exec 更关键。
建议：
- 敏感值只在请求生命周期内加载（如封装进 Service 类的 __invoke()）
- 避免 require_once 加载含密钥的配置文件（会被 OPcache 缓存）
Caddyfile 中禁止引用敏感变量
错误写法：
```
php_server {
    env DB_PASSWORD
}
```
正确做法：用只读文件挂载 + parse_ini_file()，且该函数未被禁用（若禁了，改用 file() + array_shift() 手动解析）。

? 密钥与配置传递：替代环境变量的安全方案

FrankenPHP 1.4 明确拒绝“注入”概念，只接受操作系统级隔离：

推荐：只读文件挂载（最稳妥）
宿主机：

echo "DB_PASSWORD=xxx" > /etc/secrets/db.conf
chmod 600 /etc/secrets/db.conf
chown root:www-data /etc/secrets/db.conf

Docker 启动：

volumes:
  - /etc/secrets/db.conf:/run/secrets/db.conf:ro

PHP 中：

$conf = parse_ini_file('/run/secrets/db.conf', false);
$password = $conf['DB_PASSWORD'] ?? '';

若必须用环境变量（如 PaaS 限制）：
- 启动前 unset 所有含 SECRET|KEY|PASS|TOKEN 的变量
- PHP 首次读取后立即 putenv('DB_PASSWORD='); 并验证 getenv('DB_PASSWORD') === false
- 在 php.ini 中补上 putenv 到 disable_functions