虚拟主机环境中跨站目录权限隔离的Web服务器配置

虚拟主机环境下，Apache通常使用mod_userdir模块或基于域名的虚拟主机来隔离不同用户的网站。但默认配置下，PHP等脚本语言以Apache用户（如www-data）身份运行，导致所有虚拟主机的脚本拥有相同的系统权限。要解决跨站目录权限隔离，核心在于将每个虚拟主机的脚本执行权限限制在其自身目录内，这通常通过PHP-FPM的进程池隔离来实现。每个虚拟主机配置一个独立的PHP-FPM进程池，该进程池以该站点专属的系统用户身份运行，这样脚本就天然无法越界访问其他站点的文件。

在传统的Apache+mod_php模式下，PHP作为Apache的一个模块嵌入运行。无论请求来自哪个虚拟主机，PHP代码都以Apache进程的所有者身份执行。这意味着，只要一个站点存在文件读取漏洞或恶意脚本，攻击者就可以遍历整个文件系统，读取其他虚拟主机的配置文件、数据库密码甚至源代码。这不是Web服务器配置错误，而是架构层面的权限穿透问题。解决之道在于将PHP从Web服务器进程中解耦出来，让每个站点拥有独立的执行环境。

首先，为每一个虚拟主机创建独立的系统用户和用户组。这些用户不需要登录权限，仅作为文件所有者和进程执行者。假设有两个站点，分别为siteA和siteB，执行以下命令创建用户并设定其家目录：

sudo useradd -m -d /var/www/siteA -s /usr/sbin/nologin siteA
sudo useradd -m -d /var/www/siteB -s /usr/sbin/nologin siteB

接下来，设置网站根目录的权限。将网站文件的所有者设置为对应的用户，并确保目录权限为755，文件权限为644。关键一步是，将Web服务器运行用户（如www-data）加入到每个站点用户组中，或者使用ACL（访问控制列表）赋予Web服务器对静态文件的最小读取权限。更安全的做法是，静态资源由Web服务器直接读取，而PHP脚本通过Socket与后端进程池通信，这样Web服务器根本不需要对PHP文件有读取权限，只需对静态资源目录有读取权限即可。

PHP-FPM的配置文件通常位于/etc/php-fpm.d/目录下。为每个虚拟主机创建独立的进程池配置文件，例如为siteA创建siteA.conf：

[siteA]
user = siteA
group = siteA
listen = /run/php/php-siteA.sock
listen.owner = www-data
listen.group = www-data
listen.mode = 0660
pm = dynamic
pm.max_children = 10
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 5
php_admin_value[open_basedir] = /var/www/siteA:/tmp
php_admin_value[disable_functions] = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

这里有几个关键的安全指令。user和group指定了进程池运行时的系统身份，所有通过该池执行的PHP脚本都受限于该用户的文件系统权限。listen定义了一个Unix Socket文件，其所有者为www-data，这样Apache可以通过该Socket与PHP-FPM通信。php_admin_value[open_basedir]将PHP的文件访问范围严格限制在站点根目录和临时目录内，这是防止跨站读取的核心设置。php_admin_value[disable_functions]禁用了危险的系统执行函数，即使代码存在漏洞，攻击者也难以执行系统命令或发起外部请求。注意，这些设置是php_admin_value，意味着脚本中无法通过ini_set覆盖，具有强制性。

在Apache的虚拟主机配置文件中，需要将PHP请求代理到对应的FPM Socket。首先确保Apache启用了proxy_fcgi模块。然后，在每个虚拟主机配置段内添加如下指令：

<VirtualHost *:80>
    ServerName siteA.example.com
    DocumentRoot /var/www/siteA/public_html
    
    <Directory /var/www/siteA/public_html>
        Options -Indexes +FollowSymLinks
        AllowOverride All
        Require all granted
    </Directory>
    
    <FilesMatch \.php$>
        SetHandler "proxy:unix:/run/php/php-siteA.sock|fcgi://localhost"
    </FilesMatch>
    
    ErrorLog ${APACHE_LOG_DIR}/siteA_error.log
    CustomLog ${APACHE_LOG_DIR}/siteA_access.log combined
</VirtualHost>

SetHandler指令将所有.php结尾的请求通过Unix Socket转发给siteA专属的PHP-FPM进程池。这里使用了unix socket而非TCP socket，因为Unix socket不仅性能更高，而且可以利用文件系统权限进行更精细的控制。此时，当siteA的PHP脚本尝试读取/etc/passwd或其他站点目录时，首先会受到open_basedir的限制，即使open_basedir被绕过，底层文件系统权限也会因为进程以siteA用户运行而拒绝访问其他用户的目录。

对于安全要求极高的环境，可以在PHP-FPM进程池配置中启用chroot。chroot会改变进程的根目录，使其无法访问指定目录之外的任何文件。在siteA的FPM配置中添加：

chroot = /var/www/siteA
chdir = /public_html

启用chroot后，PHP脚本看到的根目录实际上是/var/www/siteA，它无法通过相对路径或绝对路径访问到服务器上的其他任何位置。这需要将站点依赖的所有库和二进制文件复制到chroot jail内，或者使用静态编译的PHP二进制。对于大多数虚拟主机环境，这种做法过于复杂且维护成本高，但对于处理敏感数据的站点，这是终极隔离方案。需要注意的是，启用chroot后，open_basedir应相应调整为以新根目录为基准的路径，如php_admin_value[open_basedir] = /public_html:/tmp。

如果Web服务器是Nginx，隔离原理相同，但配置语法不同。在Nginx的server块中，PHP请求转发配置如下：

server {
    listen 80;
    server_name siteA.example.com;
    root /var/www/siteA/public_html;
    
    location / {
        try_files $uri $uri/ /index.php?$args;
    }
    
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php-siteA.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }
}

Nginx同样通过fastcgi_pass将请求导向对应的Unix Socket，实现与Apache相同的进程池隔离效果。无论使用哪种Web服务器，核心思想都是让每个站点的动态内容处理进程拥有独立的操作系统身份。

配置完成后，必须进行严格的验证。在siteA的根目录下创建一个测试脚本read_test.php，内容为尝试读取siteB的配置文件：

<?php
$content = file_get_contents('/var/www/siteB/config.php');
echo "Read successful: " . $content;
?>

通过浏览器访问该脚本，如果配置正确，应该看到PHP报错信息，提示文件不存在或权限被拒绝。同时检查PHP错误日志，确认是open_basedir限制生效还是文件系统权限阻止。还可以尝试执行系统命令，如通过exec函数运行whoami，验证进程身份确实是siteA而非www-data。另一个重要的测试是检查会话文件隔离，确保PHP的session.save_path设置为每个站点独立的目录，防止会话数据跨站泄露。

权限隔离中常被忽视的一环是PHP会话文件和临时上传文件。默认情况下，所有PHP进程可能共享同一个session.save_path，导致站点A可以读取站点B的会话文件。在每个进程池配置中，必须指定独立的会话存储路径：

php_admin_value[session.save_path] = /var/www/siteA/sessions
php_admin_value[upload_tmp_dir] = /var/www/siteA/tmp

确保这些目录存在且权限为700，仅对应站点用户可读写。这样即使攻击者通过某种方式获得了会话文件路径，也无法跨站读取其他用户的会话数据。

目录权限隔离解决了文件层面的安全问题，但数据库层面同样需要隔离。每个站点应使用独立的数据库用户，并且该用户的权限仅限于其自身的数据库。在创建数据库用户时，使用最小权限原则：

CREATE USER 'siteA_user'@'localhost' IDENTIFIED BY 'strong_password';
GRANT ALL PRIVILEGES ON siteA_db.* TO 'siteA_user'@'localhost';
FLUSH PRIVILEGES;

这样即使一个站点的数据库凭证泄露，攻击者也无法通过该用户访问其他站点的数据库。将文件系统隔离与数据库隔离结合，才能构建完整的跨站安全防护体系。

隔离配置部署后，持续的监控至关重要。配置PHP-FPM的慢日志和错误日志，并定期分析。当某个进程池频繁触发open_basedir限制或出现文件权限错误时，可能是站点存在漏洞被利用的迹象。可以设置日志告警规则，当检测到“open_basedir restriction in effect”等关键错误时，立即通知管理员。此外，使用auditd等系统审计工具监控对敏感目录的访问尝试，可以捕获绕过PHP层面限制的底层系统调用。

虚拟主机环境下的跨站目录权限隔离不是单一配置项就能解决的问题，而是一套组合策略：系统用户隔离奠定基础，PHP-FPM进程池隔离实现执行环境分离，open_basedir和chroot构建多层防御，会话和临时文件隔离堵住旁路，数据库权限最小化防止横向移动。这套方案在共享宿主环境中能够有效抵御绝大多数跨站攻击，即使某个站点完全沦陷，攻击者也难以突破到其他站点，将安全威胁控制在最小范围内。