11.8 安全加固清单

上线前必检

以下安全配置在生产环境上线前必须完成，否则存在严重安全风险。

必须执行

项目	操作	检查命令
JWT 密钥	`.env` 中 `JWT.SECRET` 修改为强随机字符串	`grep JWT.SECRET .env`
调试模式	`.env` 中 `APP_DEBUG = false`	`grep APP_DEBUG .env`
错误信息	`.env` 中 `SHOW_ERROR_MSG = false`	`grep SHOW_ERROR_MSG .env`
CORS	`.env` 中 `CORS.ALLOW_ORIGIN` 限制为实际域名	`grep CORS .env`
数据库密码	修改默认 root 密码	`mysql -u root -p`
Redis 密码	设置 requirepass	`redis-cli CONFIG GET requirepass`
HTTPS	启用 SSL 证书	`curl -I https://your-domain.com`

生成强密钥

bash

# -----------------------------------------------------------------------------
# 生成 JWT 签名密钥（32 字节 = 64 个十六进制字符）
# -----------------------------------------------------------------------------
# random_bytes(32) → 生成 32 字节的密码学安全随机数
# bin2hex()        → 转为十六进制字符串（便于复制粘贴到 .env）
php -r "echo bin2hex(random_bytes(32));"

# -----------------------------------------------------------------------------
# 生成 MySQL 密码（16 字节 = 32 个十六进制字符）
# -----------------------------------------------------------------------------
php -r "echo bin2hex(random_bytes(16));"

# -----------------------------------------------------------------------------
# 生成 Redis 密码（16 字节 = 32 个十六进制字符）
# -----------------------------------------------------------------------------
php -r "echo bin2hex(random_bytes(16));"

Nginx 安全配置

nginx

# =============================================================================
# Nginx 安全加固配置（添加到 server 块内）
# =============================================================================

# 禁止访问隐藏文件（.env、.git、.htaccess 等）
location ~ /\. {
    deny all;
}

# 禁止上传目录执行 PHP（防止 Webshell 攻击）
location ~ /uploads/.*\.php$ {
    deny all;
}

# -----------------------------------------------------------------------------
# 安全响应头
# -----------------------------------------------------------------------------
# X-Frame-Options         → 禁止被嵌入 iframe（防点击劫持）
# X-Content-Type-Options  → 禁止浏览器 MIME 类型嗅探
# X-XSS-Protection        → 启用浏览器 XSS 过滤
# Referrer-Policy         → 控制 Referer 头信息泄露
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# 隐藏 Nginx 版本号（防止攻击者针对性利用已知漏洞）
server_tokens off;

PHP 安全配置

ini

; =============================================================================
; php.ini 生产环境安全配置
; =============================================================================
; 配置路径：/etc/php/8.2/fpm/php.ini
; 生效命令：sudo systemctl restart php8.2-fpm
; =============================================================================

expose_php = Off                                ; 隐藏 PHP 版本号（防止针对性攻击）
display_errors = Off                            ; 不向浏览器显示错误（防止 SQL/路径泄露）
log_errors = On                                 ; 记录错误到日志文件（便于排查）
allow_url_fopen = Off                           ; 禁止 fopen 打开远程 URL（防 SSRF）
disable_functions = exec,passthru,shell_exec,system,proc_open  ; 禁用危险系统函数

文件权限

bash

# -----------------------------------------------------------------------------
# 项目目录（owner 可读写执行，group/others 可读和执行）
# -----------------------------------------------------------------------------
chmod -R 755 /www/api/                              # 目录 755，文件自动 644
chown -R www-data:www-data /www/api/                # owner 设为 Web 服务器用户

# -----------------------------------------------------------------------------
# 运行时目录（必须可写 — ThinkPHP 缓存、日志、编译模板）
# -----------------------------------------------------------------------------
chmod -R 777 /www/api/runtime/                      # 777 确保 PHP-FPM 可写入

# -----------------------------------------------------------------------------
# 上传目录（必须可写 — 用户上传文件存储位置）
# -----------------------------------------------------------------------------
chmod -R 755 /opt/data/uploads/                     # 目录可写
chown -R www-data:www-data /opt/data/uploads/       # owner 设为 Web 服务器用户

# -----------------------------------------------------------------------------
# .env 文件（仅 owner 可读 — 包含数据库密码等敏感信息）
# -----------------------------------------------------------------------------
# 600 = owner 可读写，group/others 无权限
chmod 600 /www/api/.env

数据库安全

sql

-- =============================================================================
-- MySQL 安全加固 SQL
-- =============================================================================
-- 在 MySQL 命令行中执行：mysql -u root -p
-- =============================================================================

-- 修改 root 密码（替换 strong_password_here 为实际强密码）
ALTER USER 'root'@'localhost' IDENTIFIED BY 'strong_password_here';

-- 创建应用专用数据库用户（生产环境不应用 root 连接应用）
-- rxthinkcmf_app  → 应用专用用户名
-- app_password    → 应用专用密码
CREATE USER 'rxthinkcmf_app'@'localhost' IDENTIFIED BY 'app_password';

-- 授权应用用户只能访问项目数据库（最小权限原则）
-- rxthinkcmf.thinkphp6.elevue.* → 该项目数据库的所有表
GRANT ALL PRIVILEGES ON `rxthinkcmf.thinkphp6.elevue`.* TO 'rxthinkcmf_app'@'localhost';
FLUSH PRIVILEGES;       -- 刷新权限使配置生效

-- 禁止远程 root 登录（只允许本地连接）
-- Host NOT IN (...) → 删除非本地的 root 账户
DELETE FROM mysql.user WHERE User='root' AND Host NOT IN ('localhost', '127.0.0.1', '::1');
FLUSH PRIVILEGES;

Redis 安全

ini

# =============================================================================
# redis.conf 安全配置
# =============================================================================
# 配置路径：/etc/redis/redis.conf
# 生效命令：sudo systemctl restart redis
# =============================================================================

requirepass your_strong_redis_password      ; 设置访问密码（必须设置）
bind 127.0.0.1                              ; 只监听本地（禁止外部直接访问）
protected-mode yes                          ; 启用保护模式（无密码时拒绝外部连接）

# 禁用危险命令（防止误操作清空数据或修改配置）
# 将命令重命名为空字符串 = 禁用该命令
rename-command FLUSHALL ""                  ; 禁用 FLUSHALL（清空所有数据库）
rename-command FLUSHDB ""                   ; 禁用 FLUSHDB（清空当前数据库）
rename-command CONFIG ""                    ; 禁用 CONFIG（防止运行时修改配置）

安全检查脚本

bash

#!/bin/bash
# =============================================================================
# check_security.sh — 生产环境安全检查脚本
# =============================================================================
# 用途：自动检查 .env 中的安全配置项是否符合生产要求
# 用法：cd /www/api && bash check_security.sh
# =============================================================================

echo "=== 安全检查 ==="

# -----------------------------------------------------------------------------
# 检查 APP_DEBUG 是否关闭
# -----------------------------------------------------------------------------
# grep "APP_DEBUG" .env → 从 .env 文件中提取 APP_DEBUG 行
# grep -v "#"          → 排除注释行
# cut -d= -f2          → 以 = 为分隔符取第 2 部分（值）
# tr -d ' '            → 去除空格
debug=$(grep "APP_DEBUG" .env | grep -v "#" | cut -d= -f2 | tr -d ' ')
if [ "$debug" = "true" ]; then
    echo "❌ APP_DEBUG 未关闭（生产环境必须为 false）"
else
    echo "✓ APP_DEBUG 已关闭"
fi

# -----------------------------------------------------------------------------
# 检查 JWT 密钥长度
# -----------------------------------------------------------------------------
# sed -n '/\[JWT\]/,/^\[/p' → 提取 .env 中 [JWT] 到下一个 [...] 之间的内容
# grep "^SECRET"            → 取 SECRET 行
# ${#secret}                → 获取字符串长度
secret=$(sed -n '/\[JWT\]/,/^\[/p' .env | grep "^SECRET" | cut -d= -f2 | tr -d ' ')
if [ ${#secret} -lt 32 ]; then
    echo "❌ JWT 密钥太短（建议32字节以上，当前 ${#secret} 字符）"
else
    echo "✓ JWT 密钥长度足够（${#secret} 字符）"
fi

# -----------------------------------------------------------------------------
# 检查 CORS 是否允许所有来源
# -----------------------------------------------------------------------------
cors=$(sed -n '/\[CORS\]/,/^\[/p' .env | grep "^ALLOW_ORIGIN" | cut -d= -f2 | tr -d ' ')
if [ "$cors" = "*" ]; then
    echo "⚠ CORS 允许所有来源（生产环境建议限制为实际域名）"
else
    echo "✓ CORS 已限制来源"
fi

echo "=== 检查完成 ==="

Become a sponsor

企业级中台解决方案

企业级中台解决方案

11.8 安全加固清单 ​

必须执行 ​

生成强密钥 ​

Nginx 安全配置 ​

PHP 安全配置 ​

文件权限 ​

数据库安全 ​

Redis 安全 ​

安全检查脚本 ​

11.8 安全加固清单

必须执行

生成强密钥

Nginx 安全配置

PHP 安全配置

文件权限

数据库安全

Redis 安全

安全检查脚本