#8：启用SQL安全模式 如下修改/etc/php.d/security.ini：
当此特性被启用，mysql_connect()和mysql_pconnect()会忽略传入的所有参数。与此同时，你需要在代码上做些相应的修改。第三方以及开源应用，如Wordpress，在sql.safe_mode下可能无法正常工作。同时建议关闭5.3.x版本的PHP的magic_quotes_gpc过滤，因为它简单粗暴又没效率。使用mysql_escape_string()以及自定义的过滤函数会更好一些
#9：控制POST的数据大小 HTTP POST通常作为请求的一部分，被客户端用于向Apache Web服务器发送数据，如上传文件或提交表单。攻击者会尝试发送超大的POST请求去消耗服务器的资源。如下编辑/etc/php.d/security.ini限制POST的最大大小：
这里设置了1K的最大大小。这个设置会影响到文件上传。要上传大文件，这个值需要比update_max_filesize大。
#10：资源控制（DoS控制） 设置每个PHP脚本的最大运行时间。另外建议限制用于处理请求数据的最大时间，以及最大可用内存数。
#11：为PHP安装Suhosin高级保护系统 具体参考Suhosin项目页：project page
#12：取消危险的PHP函数 PHP有大量可用于入侵服务器的函数，如使用不当则会成为漏洞。如下取消这些函数：
#13：PHP Fastcgi / CGI – cgi.force_redirect管理 PHP可与Fastcgi协同工作。Fastcgi可以减少Web服务器的内存足迹（memory footprint），并改善PHP性能。可以参考这个来配置Apache2+PHP+FastCGI。在这个配置中，cgi.force_redirect会阻止用户通过访问URL来调用PHP。为安全考虑，启用该特性：
#14：PHP用户与用户组ID mod_fastcgi是Apache Web服务的一个cgi模块，可连接到外部的FASTCGI服务器。你需要确保PHP使用非root用户运行。若其使用root或是UID小于100的用户权限，它就可以访问，乃至操作系统文件。通过Apache’s suEXEC或mod_suPHP，可在非特权用户下执行PHP CGI。suEXEC可以是Apache调用CGI程序的user ID不同于运行Apache的user ID。如下：
样例输出：
可以通过spawn-fcgi来生成phpcgi用户的远程或本地FastCGI进程（前提是有这个用户）：
现在可以配置Apache、Lighthttpd或Nginx Web服务调用运行在127.0.0.1:9000的FastCGI。
#15：限制PHP访问文件系统 open_basedir会限制PHP的运行目录，例如通过fopen()之类的函数可访问的目录。如果访问的目录不在open_basedir之内，PHP会拒绝该访问。不要使用软链接作为工作区。例如，只允许访问/var/www/html而非/var/www、/tmp或/etc目录：
#16：Session路径 PHP Session用户提供数据保存功能，以便后续访问。这可以使应用可定制性更强，提升吸引力。所有Session相关的数据会被保存在session.save_path中。RHEL/CentOS/Fedora Linux的默认设置如下：
确认这个路径在/var/www/html之外，且不可被其他系统用户访问：
样例输出：
注：ls -Z会显示SELinux的安全信息，如文件模式，user，group，安全信息，文件名等。
|
