nginx php-fpm环境中chroot功能的配置使用方法

首先，我们来介绍一下chroot的概念。chroot，即“change root”，是指将进程的根目录改变为指定的目录。在nginx php-fpm环境中配置chroot，可以限制php-fpm进程的访问范围，提高服务器的安全性。

下面是nginx php-fpm环境中chroot功能的配置使用方法：

配置nginx

修改nginx的配置文件，将root指令中的目录路径修改为chroot目录下的路径。

server {
    listen 80;
    server_name example.com;
    root /var/www/example.com; # 此处的目录路径应修改为chroot目录下的路径
    index index.html index.php;
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/run/php-fpm/php-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
    }
}

配置php-fpm

配置php-fpm的chroot目录

编辑php-fpm的配置文件，将chroot的目录路径配置到php-fpm中。

[www]
; 原来的配置
; 监听地址
listen = /run/php-fpm/php-fpm.sock

; 修改后的配置
; 监听地址
listen = /var/www/example.com/run/php-fpm/php-fpm.sock

; chroot目录
chroot = /var/www/example.com/

配置php.ini

编辑php.ini文件，将php的相关配置参数修改为chroot目录下的路径。

; 文件上传路径
upload_tmp_dir = /var/www/example.com/tmp

; session存储路径
session.save_path = /var/www/example.com/tmp

示例说明

假设我们的网站目录是/var/www/example.com，我们想要将php-fpm进程限制在/var/www/example.com目录下。

示例一

• 原nginx配置

server {
    listen 80;
    server_name example.com;
    root /var/www/example.com;
    index index.html index.php;
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/run/php-fpm/php-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
    }
}

• 完成chroot后的nginx配置

server {
    listen 80;
    server_name example.com;
    root /;
    index index.html index.php;
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/var/www/example.com/run/php-fpm/php-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
    }
}

• 完成chroot后的php-fpm配置

[www]
; 监听地址
listen = /var/www/example.com/run/php-fpm/php-fpm.sock

; chroot目录
chroot = /var/www/example.com/

示例二

我们在网站根目录下创建一个upload文件夹，用于上传文件存储。我们需要将upload文件夹移动到chroot目录下，以保证php-fpm进程无法访问upload文件夹以外的文件。

• 完成chroot后的nginx配置

server {
    listen 80;
    server_name example.com;
    root /;
    index index.html index.php;
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/var/www/example.com/run/php-fpm/php-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
    }
}

• 完成chroot后的php-fpm配置

[www]
; 监听地址
listen = /var/www/example.com/run/php-fpm/php-fpm.sock

; chroot目录
chroot = /var/www/example.com/

; 文件上传路径
upload_tmp_dir = /tmp/upload

在chroot目录下创建/tmp/upload目录，并将网站根目录下的upload文件夹移动到/tmp/upload目录中。

mkdir /var/www/example.com/tmp/upload
mv /var/www/example.com/upload /var/www/example.com/tmp/upload/

在php.ini中设置upload_tmp_dir参数为chroot目录下的/tmp/upload目录，确保可以上传文件。

; 文件上传路径
upload_tmp_dir = /tmp/upload

以上是nginx php-fpm环境中chroot功能的配置使用方法，通过此方法可以限制php-fpm进程的访问范围，提高服务器的安全性。