nginx错误连接到php5-fpm.sock失败(13:权限被拒绝)

Question

我将nginx更新为1.4.7,将php 更新为5.5.12,之后我得到了502错误.在我更新之前一切正常.

nginx的-error.log中

2014/05/03 13:27:41 [crit] 4202#0: *1 connect() to unix:/var/run/php5-fpm.sock failed (13: Permission denied) while connecting to upstream, client: xx.xxx.xx.xx, server: localhost, request: "GET / HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "xx.xx.xx.xx"

nginx.conf

user  www www;
worker_processes  1;

        location / {
            root   /usr/home/user/public_html;
            index  index.php index.html index.htm;
        }
        location ~ [^/]\.php(/|$) {
            fastcgi_split_path_info ^(.+?\.php)(/.*)$;
            fastcgi_pass unix:/var/run/php5-fpm.sock;
            fastcgi_index index.php;
            fastcgi_param  SCRIPT_FILENAME    /usr/home/user/public_html$fastcgi_script_name;
            include fastcgi_params;
        }

Answer 1

php更新后我遇到了类似的错误.PHP固定一个安全漏洞,其中o有rw权限的套接字文件.

1. 打开/etc/php5/fpm/pool.d/www.conf或/etc/php/7.0/fpm/pool.d/www.conf,取决于您的版本.

2. 取消注释所有权限行,例如:

   listen.owner = www-data
   listen.group = www-data
   listen.mode = 0660
   

3. 重启fpm - sudo service php5-fpm restart或sudo service php7.0-fpm restart

注意:如果您的网络服务器以www-data以外的用户身份运行,则需要相应地更新www.conf文件

Answer 2

此处提到的所有修复程序基本上都会重新启用安全漏洞.

我最终做的是将以下行添加到我的PHP-FPM配置文件中.

listen.owner = www-data
listen.group = www-data

确保www-data实际上是nginx worker正在运行的用户.对于debian,它默认为www-data.

这样做不会启用此更改应该修复的安全问题.

Answer 3

@Xander的解决方案有效,但重启后不会持续存在.

我发现,我不得不改变listen.mode,以0660在 /etc/php5/fpm/pool.d/www.conf.

来自www.conf的样本:

; Set permissions for unix socket, if one is used. In Linux, read/write
; permissions must be set in order to allow connections from a web server. Many
; BSD-derived systems allow connections regardless of permissions. 
; Default Values: user and group are set as the running user
;                 mode is set to 0660
;listen.owner = www-data
;listen.group = www-data
;listen.mode = 0660

编辑:根据@Chris Burgess,我已将此更改为更安全的方法.

我删除了listen.mode,.group和.owner的注释:

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

/ var/run仅保存自上次引导以来正在运行的系统的信息,例如,当前登录的用户和正在运行的守护程序.(http://en.wikipedia.org/wiki/Filesystem_Hierarchy_Standard#Directory_structure).

边注:

我的php5-fpm -v报告:PHP 5.4.28-1+deb.sury.org~precise+1.这个问题确实发生在最近的更新之后.

Answer 4

如果你已经尝试过这篇文章中的所有内容但是没有成功让PHP工作,那就是为我的情况修复了它:

确保在/etc/php5/fpm/pool.d/www.conf中取消注释这些行:

listen.owner = www-data
listen.group = www-data
listen.mode = 0660

确保/ etc/nginx/fastcgi_params看起来像这样:

fastcgi_param  QUERY_STRING       $query_string;
fastcgi_param  REQUEST_METHOD     $request_method;
fastcgi_param  CONTENT_TYPE       $content_type;
fastcgi_param  CONTENT_LENGTH     $content_length;

fastcgi_param  SCRIPT_NAME        $fastcgi_script_name;
fastcgi_param  REQUEST_URI        $request_uri;
fastcgi_param  DOCUMENT_URI       $document_uri;
fastcgi_param  DOCUMENT_ROOT      $document_root;
fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
fastcgi_param  SERVER_PROTOCOL    $server_protocol;
fastcgi_param  PATH_INFO          $fastcgi_script_name;
fastcgi_param  HTTPS              $https if_not_empty;

fastcgi_param  GATEWAY_INTERFACE  CGI/1.1;
fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;

fastcgi_param  REMOTE_ADDR        $remote_addr;
fastcgi_param  REMOTE_PORT        $remote_port;
fastcgi_param  SERVER_ADDR        $server_addr;
fastcgi_param  SERVER_PORT        $server_port;
fastcgi_param  SERVER_NAME        $server_name;

# PHP only, required if PHP was built with --enable-force-cgi-redirect
fastcgi_param  REDIRECT_STATUS    200;

我的/ etc/nginx/fastcgi_params中缺少这两行,请确保它们在那里!

fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
fastcgi_param  PATH_INFO          $fastcgi_script_name;

然后,重启php5-fpm和nginx.应该做的伎俩.

Answer 5

事实上,"listen.mode"应该是:"0660"而不是"0666",因为其他可写或其他可读在这里永远不是一个好选择.

因此,请尝试找出您的网络服务器运行的用户/组.我使用CentOs,它以用户"nginx"运行所以添加到你的php-fpm.conf:

listen.owner = nginx
listen.group = nginx
listen.mode = 0660

最后重启php-fpm

Answer 6

检查哪个用户运行nginx.从Ubuntu 12.04开始,nginx由nginx用户运行,该用户不是www-data组的成员.

usermod -a -G www-data nginx

并重新启动nginx和php5-fpm守护进程解决了这个问题.

Answer 7

除了扩展php配置中的权限之外,您可以更改nginx配置中指定的用户.

在上面的nginx.conf摘录的第一行,用户和组分别指定为www和www.

user  www www;

同时,你的php配置可能指定了一个用户和一组www-data:

listen.owner = www-data
listen.group = www-data

您可以将nginx.conf中的行更改为以下任何一行,然后:

user www-data www;
user www-data www-data; # or any group, really, since you have the user matching
user www www-data; # requires that your php listen.mode gives rw access to the group

Answer 8

如果有的话,还必须考虑您的个人FPM池.

我无法弄清楚为什么今天这些答案都不适合我.这对我来说是一个一劳永逸的场景,在那里我忘记了listen.user和listen.group是按照每个池重复的.

如果您像我一样使用池用于不同的用户帐户,每个用户帐户拥有其FPM进程和套接字,则只将默认的listen.owner和listen.group配置选项设置为"nginx"将无法正常工作.显然,让'nginx'拥有它们也是不可接受的.

对于每个池,请确保

listen.group = nginx

否则,您可以单独保留池的所有权.

Answer 9

我今天再次遇到此错误,因为我更新了运行Ubuntu 14.04的机器(使用PHP更新).分发配置文件/etc/php5/fpm/pool.d/www.conf很好,目前不需要任何更改.

我发现了以下错误:

dmesg | grep php
[...]
[ 4996.801789] traps: php5-fpm[23231] general protection ip:6c60d1 sp:7fff3f8c68f0 error:0 in php5-fpm[400000+800000]
[ 6788.335355] traps: php5-fpm[9069] general protection ip:6c5d81 sp:7fff98dd9a00 error:0 in php5-fpm[400000+7ff000]

奇怪的是,我必须运行PHP应用-FPM在本机一个2个站点运行良好,而其他(个小小RSS安装)给了我502,其中两个已被罚款运行之前.

我比较了两个配置文件,发现fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;受影响的站点丢失了.

这两个配置文件现在都包含以下块,并且再次正常运行:

location ~ \.php$ {
        fastcgi_pass unix:/var/run/php5-fpm.sock;
        include /etc/nginx/snippets/fastcgi-php.conf;
}

更新

应该注意的是,Ubuntu提供了两个fastcgi相关的参数文件以及一个自Vivid以及PPA版本以来可用的配置片段.解决方案相应更新.

fastcgi参数文件的差异:

$ diff -up fastcgi_params fastcgi.conf
--- fastcgi_params      2015-07-22 01:42:39.000000000 +0200
+++ fastcgi.conf        2015-07-22 01:42:39.000000000 +0200
@@ -1,4 +1,5 @@

+fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
 fastcgi_param  QUERY_STRING       $query_string;
 fastcgi_param  REQUEST_METHOD     $request_method;
 fastcgi_param  CONTENT_TYPE       $content_type;

配置代码段 /etc/nginx/snippets/fastcgi-php.conf

# regex to split $uri to $fastcgi_script_name and $fastcgi_path
fastcgi_split_path_info ^(.+\.php)(/.+)$;

# Check that the PHP script exists before passing it
try_files $fastcgi_script_name =404;

# Bypass the fact that try_files resets $fastcgi_path_info
# see: http://trac.nginx.org/nginx/ticket/321
set $path_info $fastcgi_path_info;
fastcgi_param PATH_INFO $path_info;

fastcgi_index index.php;
include fastcgi.conf;

Answer 10

以下简单修复对我有用，绕过了套接字可能存在的权限问题。

在您的 nginx 配置中，将 fastcgi_pass 设置为：

fastcgi_pass   127.0.0.1:9000;

代替

fastcgi_pass   /var/run/php5-fpm.sock;

这必须与 /etc/php5/fpm/pool.d/www.conf 中的 listen = 参数匹配，因此也将其设置为：

listen = 127.0.0.1:9000;

然后重启php5-fpm和nginx

service php5-fpm restart

和

service nginx restart

有关更多信息，请参阅：https : //wildlyinaccurate.com/solving-502-bad-gateway-with-nginx-php-fpm/

Answer 11

就我而言，问题是Nginx Web服务器以用户nginx的身份运行，而池以用户www-data的身份运行。

我通过更改Nginx在 /etc/nginx/nginx.conf文件中（您的系统上可能有所不同，我的系统是Ubuntu 16.04.1）

更改： user nginx;

至： user www-data;

然后重启Nginx： service nginx restart

Answer 12

我有类似的错误。

所有的建议都没有帮助。

使用 nginx 的唯一替代 www-data 有帮助：

$ sudo chown nginx:nginx /var/run/php/php7.2-fpm.sock

/var/www/php/fpm/pool.d/www.conf

user = nginx
group = nginx
...
listen.owner = nginx
listen.group = nginx
listen.mode = 0660