有没办法禁止 PHP 列出 Linux 根目录？

[andybest]

Ubuntu Server 的根目录，系统安装完后大部分文件与目录权限为：drwxr-xr-x
因为是任何人可读，导致 PHP 可以列出根目录并下载任何人可读的文件
有没有可能限制PHP禁止读取根目录？

[lichao]

这个应该去设置 Apache 什么的，跟 PHP 似乎没关系

[yangqi]

php禁止读取根目录了那还怎么执行目录下的php文件?

[andybest]

@lichao 我的意思是，我自建一个用户用于run php，然后禁止这个php列出根目录的权限

[andybest]

@yangqi 有道理。。。我想能否禁止列出比如 /etc/ 这样比较敏感的目录？

[lichao]

@andybest 哦，我理解错了

[yangqi]

@andybest 默认php应该是运行在www-data之类的用户下面吧,这样的话应该是只能读取apache的www目录下的文件的

[andybest]

@yangqi 不是的，只要权限为：drwxr-xr-x 的PHP都可以读取，最简单的验证方法是下一个php文件管理器，在里面改变目录为/后看看

[yangqi]

@andybest 好吧...不过这个要求很怪, 你是对你自己写的代码没有信心,没有安全感么?

[andybest]

@yangqi 是对一些 PHP 程序不信任，做最坏的假设比如他就是个文件管理器（木马），让它运行在我服务器上仍然可以将其权限限制在其目录中，不会造成很大影响

[sarices]

open_basedir

[andybest]

@sarices 非常感谢，原来 PHP 已经有解决我这个问题的方案了，给你 32 个赞 ：）

[wzzyj8]

open_basedir不够完全，单用这一个设置完全可以被绕过，网上绕过open_basedir的方法有很多。顺手应该禁用掉一些函数，比如：
http://blog.robotshell.org/2013/php-disable-functions/
http://www.cnblogs.com/chengmo/archive/2010/07/08/1773859.html

如果是apache虚拟主机的话最好是用上suExec/suPHP之类的来进行隔离。

如果是Nginx的话，可以参考这里：
http://www.howtoforge.com/php-fpm-nginx-security-in-shared-hosting-environments-debian-ubuntu