Linux云服务器PHP环境四大规范搭建步骤

Nginx + PHP-FPM是Linux云服务器部署PHP环境的正确方案，必须严格配置fastcgi_pass匹配、SCRIPT_FILENAME绝对路径、open_basedir限制及扩展完整性，否则将引发502、源码泄露或权限绕过等严重问题。

Linux云服务器上搭PHP环境，不是装完php和nginx就能跑起来——漏掉任一规范环节，轻则502 Bad Gateway，重则open_basedir restriction报错、权限被绕过、甚至php-fpm进程被恶意复用。

Web服务器必须用PHP-FPM而非mod_php

Apache的mod_php在2026年已不推荐用于生产：它把PHP模块直接加载进Apache进程，每个请求都独占一个Apache子进程，内存开销大、无法精细控制PHP资源、且不支持多版本共存。Nginx根本不能用mod_php，必须走FastCGI协议交由php-fpm处理。

• php-fpm服务必须启用并设为开机自启：sudo systemctl enable php-fpm && sudo systemctl start php-fpm
• 检查监听方式：Ubuntu/Debian默认用Unix socket（listen = /run/php/php8.1-fpm.sock），CentOS/RHEL系常配TCP（listen = 127.0.0.1:9000），二者不可混用——Nginx配置里的fastcgi_pass必须严格匹配
• 确认listen.owner和listen.group与Nginx运行用户一致：Ubuntu是www-data，CentOS是nginx，否则socket文件权限拒绝访问

PHP扩展不能靠“能跑就行”来凑

只装php-fpm和php-mysql，Laravel会报Class Illuminate\Foundation\Application not found，WordPress后台上传图片失败，ThinkPHP路由404——这些都不是代码问题，而是扩展缺失的典型症状。

• 必须一次性装齐：除mysql外，mbstring（多字节字符串）、xml（配置解析）、curl（HTTP请求）、zip（Composer解包）、openssl（HTTPS/加密）缺一不可
• Ubuntu/Debian注意版本号绑定：装php8.1-fpm就必须对应装php8.1-mbstring，不能只写php-mbstring，否则apt会装错版本或冲突
• CentOS 8+必须启用Remi仓库：dnf module enable php:remi-8.1后再dnf install，否则默认php包是8.0且无常用扩展

Nginx配置里location块必须精准匹配.php后缀

很多人复制网上配置，把location ~ \.php$写成location ~ \.php（少个$），结果/uploads/test.php.bak这种备份文件也能被执行，直接导致源码泄露。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

立即学习“PHP免费学习笔记（深入）”；

• 必须用location ~ \.php$，结尾$确保只匹配真实PHP脚本，不匹配带扩展名的其他文件
• fastcgi_param SCRIPT_FILENAME值必须写绝对路径：$realpath_root$fastcgi_script_name，不能用$document_root，否则遇到符号链接时会解析到错误路径
• 务必加try_files $uri =404在PHP location之前，防止Nginx把不存在的.php路径转发给php-fpm，造成“文件未找到但仍返回200”的安全错觉

php.ini和www.conf权限控制项不能留空

默认配置下，php-fpm子进程以www-data身份运行，可读写整个/var/www，一旦某个PHP脚本被上传漏洞利用，攻击者就能写shell到任意目录。

• 在www.conf中设置php_admin_value[open_basedir]：例如/var/www/html:/tmp，禁止跨站访问其他项目目录
• 禁用危险函数：php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,popen,parse_ini_file,show_source
• php.ini中关闭expose_php = Off，避免响应头暴露PHP版本；调低max_execution_time = 30和memory_limit = 128M防耗尽资源

最易被忽略的是open_basedir没设——它不像防火墙那样有明显报错，但只要没配，就等于把所有网站根目录对彼此敞开。别等被黑了才想起查phpinfo()里这行是否生效。