刚装完 CentOS 7，部署网站后发现目录权限明明对了，但还是 403 或文件访问被拒绝，十有八九是 SELinux 在搞鬼。这玩意儿对新手极不友好，建议直接关掉。

1. 先查看 SELinux 状态

getenforce

输出有三种可能：

• Enforcing：强制模式（正在生效）
• Permissive：宽容模式（只警告不拦截）
• Disabled：已关闭

或者用详细命令：

sestatus

2. 临时关闭（重启后失效）

setenforce 0

执行完再 getenforce 确认一下，应该变成 Permissive。

注意：临时关闭不需要重启服务器，但重启后会恢复原来的状态。

3. 永久关闭（重启后依然生效）

编辑配置文件：

vi /etc/selinux/config

找到这一行：

SELINUX=enforcing

改成：

SELINUX=disabled

保存退出后，必须重启服务器才能生效：

reboot

4. 为什么要关 SELinux？

SELinux 是 Linux 的强制访问控制机制，理论上更安全，但对新手来说：

• 权限配对了还是访问不了
• Nginx 代理 PHP 一直 403
• 上传文件后权限不对
• 各种莫名其妙的拒绝访问

生产环境如果不是特别懂，建议直接关掉，省心。真要讲究安全，用防火墙就够了。

5. 常见坑

坑1：改了配置文件没重启
很多人改完 /etc/selinux/config 就以为关了，其实必须重启才生效。

坑2：setenforce 报错
如果 SELinux 本来就是 Disabled 状态，执行 setenforce 0 会报错，正常。

坑3：查看日志
如果想知道 SELinux 拦截了什么，可以看日志：

tail -f /var/log/audit/audit.log

遇到服务器、Nginx、MySQL 报错，可以加微信远程协助排查问题。

Linux 防火墙配置技巧

服务器安全第一步就是配好防火墙，只开需要的端口，其他全关。

1. firewalld（CentOS 7+ 默认）

# 查看状态
firewall-cmd --state

# 查看已开放端口
firewall-cmd --list-ports

# 开放端口
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp

# 开放多个端口
firewall-cmd --permanent --add-port=8000-9000/tcp

# 开放指定 IP 访问
firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.100' port protocol='tcp' port=3306 accept"

# 重载配置（必须重载才生效）
firewall-cmd --reload

# 删除端口
firewall-cmd --permanent --remove-port=8080/tcp

2. ufw（Ubuntu 默认）

# 查看状态
ufw status

# 开启防火墙
ufw enable

# 允许 SSH
ufw allow 22

# 允许 80 和 443
ufw allow 80
ufw allow 443

# 允许指定 IP
ufw allow from 192.168.1.100 to any port 3306

# 拒绝某个 IP
ufw deny from 1.2.3.4

# 删除规则
ufw delete allow 8080

3. iptables（经典）

# 查看规则
iptables -L -n

# 允许 22 端口
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# 允许 80 端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 允许本地回环
iptables -A INPUT -i lo -j ACCEPT

# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 默认拒绝其他
iptables -P INPUT DROP

# 保存规则（CentOS）
service iptables save

4. 安全建议

• 只开必要端口：SSH、HTTP、HTTPS，其他全关
• SSH 改端口：不要用默认 22，改成其他端口
• 限制 SSH 登录 IP：只允许你的 IP 登录 SSH
• 数据库不对外暴露：MySQL、Redis 只允许本地访问
• 定期查看日志：/var/log/secure 看有没有暴力破解

5. 常用端口速查

• 22：SSH
• 80：HTTP
• 443：HTTPS
• 3306：MySQL
• 6379：Redis
• 8080：应用端口

总结

Linux 防火墙核心：

• CentOS 用 firewalld
• Ubuntu 用 ufw
• 只开必要端口
• 数据库不对外暴露
• SSH 限制 IP 访问

配好防火墙，服务器安全提升一大截。

PHP 开发必须注意的安全问题

PHP 开发最容易出安全问题，几个常见坑一定要避开。

1. SQL 注入

最常见的安全漏洞。用户输入拼接到 SQL 里，被注入恶意 SQL。

解决方案：用预处理语句

// 不要这样
$sql = "SELECT * FROM users WHERE id = " . $_GET['id'];

// 要这样
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);

2. XSS 跨站脚本

用户输入直接输出到页面，被注入恶意 JS。

解决方案：输出时转义

echo htmlspecialchars($user_input);

3. CSRF 跨站请求伪造

别人伪造你的请求操作。

解决方案：加 Token 验证

// 表单里加 Token
<input type="hidden" name="csrf_token" value="<?php echo $_SESSION['token']; ?>">

// 后端验证
if ($_POST['csrf_token'] !== $_SESSION['token']) {
    die('CSRF 攻击');
}

4. 文件上传漏洞

用户上传 PHP 文件，直接拿到 webshell。

解决方案：

• 限制文件类型
• 重命名文件
• 上传目录不执行 PHP

5. 密码明文存储

数据库被拖库，密码全泄露。

解决方案：用 password_hash

$hash = password_hash($password, PASSWORD_DEFAULT);

// 验证
password_verify($password, $hash);

6. 错误信息泄露

生产环境把报错直接展示给用户，暴露路径和代码。

解决方案：关闭 display_errors

display_errors = Off
log_errors = On

总结

PHP 安全的核心：用户输入都不可信，所有输出都要转义，数据库操作用预处理。安全开发意识比工具更重要。