通过对服务器端特性的配置加强php的安全

通过对服务器端特性的配置可以加强 PHP 应用程序的安全性，同时减少潜在的安全漏洞。以下是针对此问题的完整攻略：

第一步：使用最新版本的 PHP

保持应用程序和服务器上安装的 PHP 版本最新，以避免已知漏洞。同时，也需要及时更新PHP所依赖的库文件。

第二步：限制 PHP 功能

禁止所有危险函数，如 eval()、system()、passthru() 等。这可以通过配置 php.ini 文件来实现，例如：

disable_functions = eval,system,passthru,popen,proc_open,shell_exec,show_source,posix_kill

此外，也可以通过 PHP 应用程序中的 ini_set() 函数调用来禁用这些函数。

第三步：配置 PHP 错误报告

通过将错误报告级别设置为 E_ALL ，可以将确定的安全漏洞捕获和报告到日志文件中，而不是显示给用户。可以通过以下代码来设置错误报告级别：

error_reporting(E_ALL);
ini_set('display_errors', 'Off');
ini_set('log_errors', 'On');

将报告级别设置为 E_ALL 并将显示错误设置为关闭，可将错误日志记录到指定的文件中。

第四步：强化 PHP 会话安全性

将 session.cookie_httponly 设置为 TRUE，这将确保客户端 JavaScript 无法访问会话 ID。可以使用以下代码：

ini_set('session.cookie_httponly', TRUE);

第五步：限制文件系统访问

PHP 应用程序需要访问文件系统时，应该限制访问的范围。比较常用的方法是使用 chroot 操作系统功能，或在代码中设置文件路径跟目录，如下代码所示：

$dir = '/var/www/myapp';
chdir($dir);

这将将当前工作目录更改为 /var/www/myapp 文件夹，并且 PHP 脚本将无法访问该目录之外的任何文件。

示例1：禁用 eval

假设应用程序需要从用户输入字符串中生成代码，可以使用 eval() 函数。然而，由于 eval() 在不正确使用时非常容易受到代码注入攻击，因此应该禁用它。以下是一些示例代码：

// 禁用全局
disable_functions = eval

// 禁用应用程序级别
ini_set('disable_functions','eval');

示例2：配置错误报告并记录到日志文件

为了显式记录应用程序中发生的错误，并将它们记录到日志文件中以便后续分析，可以通过以下代码来设置错误报告级别：

error_reporting(E_ALL);
ini_set('display_errors', 'Off');
ini_set('log_errors', 'On');
ini_set('error_log','/var/log/myapp.log');

通过将错误报告级别设置为 E_ALL，设置错误日志文件位置，可以将日志记录到指定的文件中。

综上，以上是通过对服务器端特性的配置加强 PHP 的安全性的完整攻略。