安全的chmod权限？

Question

标准的chmod权限对于文件是"644",对于目录是"755",不是吗？

在大多数情况下,PHP不需要写入文件或目录.所以我不能从所有组中获取写权限吗？

我可以为所有文件分配"444",为所有目录分配"555".

那不是更安全吗？

提前致谢!

注意:chmod()在我的PHP disable_functions列表中.

Answer 1

新创建的文件和目录的默认权限由umask环境变量设置。文件的所有者和 root 可以更改权限。

如果您不需要在应用程序中使用 chmod，请将其保留在禁用列表中。您应该看待安全性的方式是：许多比我聪明的人现在已经使 chmod 成为我的应用程序中更安全的部分之一。因此，我将花我的空闲时间确保其他部分的安全。

如果您将应用程序自动化，则可以在服务器上将应用程序设置为只读。当您更改应用程序代码时，这会让您的事情变得非常困难。在某些时候，您会来回进行一些代码更改并在服务器上测试它们......然后忘记将文件/目录权限重置回只读。

如果您的生产计算机上只有 1 个用户帐户，我会坚持使用默认权限 - 事情可能会为您管理。或者您可以删除组和“其他”权限，如下所述。

典型的生产设置是拥有您所属的应用程序组。您还需要一个单独的用户来运行您的 php 应用程序。保留所有者和组的完整权限，并删除“其他”的所有权限。这边走：

• 开发人员保留他们的个人登录信息 - 您可以跟踪谁在何时做了什么。
• 您和其他开发人员可以将新代码复制到服务器。
• 应用程序可以运行代码。
• 应用程序无法访问代码之外的任何内容。
• 其他用户无法看到您的代码。

我猜管理你的生产服务器是其他人的工作？他们会花时间确保没有人可以登录并四处闲逛。虽然您确实需要确保没有人可以运行操作系统命令，但我认为最好的起点是了解xss。默认的 php 服务器设置应该没问题。应用程序中最不安全的部分是只有您看到的部分。如果有人要访问系统调用，很可能是通过表单。即使您消除了系统调用，表单仍然容易存储 JavaScript。除非您在应用程序中存储信用卡，否则更可能的目标是用户浏览器中的密码/会话。