Người dùng nên chạy NGinx và PHP như thế nào?

Quyền là một cái gì đó đã gây nhầm lẫn cho tôi một thời gian với Linux. Vì vậy, tại thời điểm cả hai phiên bản NGinx và PHP-FPM của tôi đang chạy với người dùng và nhóm:

dữ liệu www

Đây có phải là tiêu chuẩn? Tôi gặp rắc rối khi tôi tải lên tập tin.

Ví dụ , một tệp sẽ được tải lên cả với dữ liệu www của người dùng và nhóm. Bây giờ, do cách tôi đặt quyền (0440) trong ứng dụng web của mình, tôi không thể đăng nhập qua ssh bằng tài khoản bình thường để tải xuống các tệp đó. Điều này không thể thay đổi.

Tôi đã nghĩ đến việc thay đổi ví dụ nginx và php của mình để giữ nhóm, nhưng thay đổi chúng để chạy dưới tên người dùng của tôi.

Cách chính xác để xử lý quyền ở đây là gì? Cảm ơn bạn.

Đây là cách thức hoạt động: Khi bạn đăng nhập qua FTP / SSH và tải lên các tệp, chúng được tạo bằng quyền của bạn. Có lẽ webroot của bạn có thể ghi được trên thế giới (0777), điều đó không an toàn - mọi người dùng trong hệ thống đều có thể viết một cái gì đó ở đó. PHP chạy với các đặc quyền người dùng khác nhau (Chúng được chỉ định trong cấu hình PHP-FPM, không phải cấu hình nginx) và vì thư mục có thể ghi trên thế giới, người dùng PHP (dữ liệu www) cũng có thể ghi ở đó. Nhưng chủ sở hữu của tệp này là dữ liệu www, không phải tài khoản của bạn. Chúng là 2 tài khoản riêng biệt ở cấp độ hệ thống tập tin.

Tôi khuyên bạn nên tạo người dùng chuyên dụng với các đặc quyền ít nhất có thể, sở hữu thư mục webroot và sẽ được sử dụng để tải lên FTP / SSH VÀ sẽ chạy php. Bạn nên thay đổi cấu hình PHP-FPM, trong phần worker có mục nhập người dùng và cấu hình NGINX, để bạn có thể làm cho các tệp trang web của mình không thể đọc được và an toàn hơn.

Đừng chạy PHP với người dùng đặc quyền (sudo capabilities, viết đặc quyền vượt quá docroot), điều đó có thể gây ra sự thỏa hiệp bảo mật máy chủ.

Người www-datadùng & nhóm khá chuẩn. Nó có thể là www hoặc web trên các hệ thống khác nhưng ý tưởng là như nhau: Chạy các dịch vụ web bằng tài khoản chuyên dụng. Do đó, khi máy chủ web của bạn bị xâm nhập, kẻ tấn công sẽ chỉ có thể truy cập các tệp mà tài khoản này đã được cấp.

Nếu người dùng phải quản lý các dịch vụ web, bạn nên thêm người dùng vào nhóm có liên quan (dữ liệu www) hoặc cho phép anh ta su (hoặc sudo) cho người dùng có liên quan (vẫn là dữ liệu www).

Tôi cố gắng tránh việc nginx / php thực thi các tập lệnh được sở hữu dưới dạng dữ liệu www vì lý do bảo mật.