php.ini是网站服务器上的一个重要配置文件，它包含了决定PHP运行环境特性的关键设置，直接关系到网站能否顺畅运行。每次 PHP 启动时，系统都会读取这个文件，加载相应的配置并将其应用到网站的脚本上。
尽管服务器通常预装了一些默认的PHP配置，但这些设置可能并不完全符合您的网站具体需求。因此您可能还是需要根据实际情况调整这些默认参数，比如增加脚本运行时的内存上限或延长脚本的最大执行时间，以优化网站性能和用户体验。通过修改 php.ini 文件，您可以根据自己的需求进行更细致的配置，优化网站性能或者启用特定功能。
然而正因其重要性，使得php.ini也成为了恶意软件攻击的目标，特别是在那些使用老旧PHP版本的服务器上。
在本文中，我们将深入剖析php.ini文件的功能、存储位置，并手把手教您如何编辑它以调整PHP设置。同时，我们也会介绍利用该文件执行恶意代码的手法，并提供一系列实用的防御措施用以加固您的网站，确保您的在线业务免受侵害。
php.ini 的位置
PHP 启动时会自动读取 php.ini 文件，文件的具体位置取决于服务器的配置、操作系统以及 PHP 版本。以下是常见的 php.ini 文件默认路径：
Linux 系统中的默认路径：
/etc/php.ini
/etc/php/X/apache2/php.ini（将 X 替换为您的 PHP 版本）
Windows 系统中的默认路径：
C:\php\php.ini
C:\Windows\php.ini
通过查找这些默认路径，您可以找到 php.ini 文件并进行相应的修改。
如何修改 php.ini 文件？
尽管服务器上已经预装了 PHP 默认设置，但在某些情况下，您可能需要手动创建或编辑 php.ini 文件来调整设置。具体操作步骤如下：
找到文件：首先需要找到 php.ini 文件的位置。可以参考常见的默认路径，也可以通过命令行工具查找，例如使用 php --ini 命令。
编辑文件：找到 php.ini 文件后，使用您熟悉的文本编辑器打开该文件。例如Vim、Nano（Linux 系统）或 Notepad++（Windows 系统）。
在 Linux 系统中，可以输入以下命令来打开文件（以 Vim 为例）：
| sudo vim /etc/php/X/apache2/php.ini # X 替换为您的 PHP 版本 |
修改参数：找到需要修改的参数并进行调整，确保修改后的值符合您的实际需求。您可以更改文件上传大小、内存限制、最大执行时间等常见参数。
保存更改：完成编辑后，保存并退出编辑器。
在 Vim 中，保存并退出的命令是 :wq，即先按 Esc 键，再输入 :wq 然后回车。
重启服务器：您需要重启 Web 服务器改动才会生效。
如果使用的是 Apache 服务器，可以执行以下命令重启：
| sudo systemctl restart apache2 |
如果您使用的是 Nginx 服务器，执行以下命令重启：
| sudo systemctl restart nginx |
这样修改后的 php.ini 文件中的设置将会立即生效。如果服务器上运行的 PHP 版本较新，或您的环境较复杂，建议在修改前备份文件以防发生意外。
当然这是服务器层面的修改，如果您使用的是虚拟主机，由于其产品特性，虚拟主机用户并无服务器管理权限，然而，您依然可以通过php.ini对您的PHP设置做调整。
以Hostease的Linux虚拟主机为例，您可以直接通过cPanel面板上多“Select PHP Verson>>PHP Options”对常见参数进行修改，这对于新手用户来说操作上会更加便捷。
大多数虚拟主机服务商允许用户在自己的主机目录中创建自定义的 php.ini 文件，即便您的主机控制面板上不提供此功能，您也可以自行创建或者修改php.ini文件来实现参数调整。
php.ini 中的常见设置及用途
php.ini 文件中包含许多控制 PHP 行为的关键指令。以下是一些常见设置及其用途：
display_errors
控制是否将错误信息显示给用户。通常在开发阶段应开启此选项，方便调试；但在生产环境中建议关闭，以防止敏感信息泄露给用户。
| display_errors = Off # 生产环境中关闭 |
error_reporting
设置错误报告的级别，值可以是整数或预定义的常量（如 E_ALL）。PHP 8 的默认设置为 E_ALL，它会报告所有错误和警告。
| error_reporting = E_ALL # 报告所有错误和警告 |
log_errors
定义是否将错误信息记录到日志文件中。如果设置为 On，错误会记录到服务器日志或指定的 error_log 文件中。
| log_errors = On # 开启错误日志记录 |
memory_limit
限制单个 PHP 脚本执行时使用的最大内存量。调整此值可以防止脚本占用过多的服务器资源，导致性能问题或服务器崩溃。
| memory_limit = 128M # 设置内存限制为 128MB |
max_input_time
定义 PHP 脚本解析用户表单提交数据（如 GET、POST）的最大时间。此设置可以防止在处理大量数据时脚本因时间过长而超时。
| max_input_time = 60 # 脚本解析数据的最大时间为 60 秒 |
这些设置帮助您根据实际需求优化 PHP 行为，从而提升网站的安全性和性能。根据服务器的运行环境，合理调整这些指令，可以更好地控制网站资源使用并确保稳定运行。
如何保护您的服务器？
定期更新 PHP 和其他软件
保持操作系统和服务器上的 PHP 以及其他相关软件始终为最新版本，是确保服务器安全的关键步骤。及时安装官方发布的安全补丁，有助于修复已知的安全漏洞，防止攻击者利用这些漏洞进行入侵。
监控服务器日志
定期监控服务器日志是保障服务器安全的重要措施之一。通过检查日志，可以及时发现异常活动或潜在的安全威胁，迅速做出响应并处理问题，以防止进一步的攻击或破坏。
启用文件完整性监控
文件完整性监控工具会定期扫描服务器文件，并将扫描结果与之前记录的文件状态（如校验码或哈希值）进行对比。如果检测到文件的内容、权限或属性发生变化，工具会记录异常，并根据配置向管理员发送警报。
通过启用文件完整性监控，您可以及时检测到服务器或网站文件的异常更改，防止恶意代码或不当操作影响服务器的安全性。
常见的文件完整性监控工具：
Tripwire：可以监控文件系统的更改，自动对文件生成校验码，并在文件发生更改时通知管理员。
AIDE (Advanced Intrusion Detection Environment)：一个开源工具，用于检查文件是否发生改动，并生成日志和警报。
OSSEC：一个开源的主机入侵检测系统，能够检测文件完整性、日志监控和入侵行为。
移除不必要的服务
每个运行中的服务都会占用服务器的资源，如 CPU、内存和网络带宽。某些不必要的服务如果保持运行，还可能存在安全漏洞，增加被攻击的风险。通过移除不使用的服务，可以有效减少这些隐患。
通过安全连接访问服务器
远程管理服务器时，确保连接的安全性至关重要。
通过加密协议（如 SSH）和其他安全措施（如 VPN、IP 限制、双因素认证）进行远程连接，可以大幅降低服务器被入侵的风险。确保每次远程管理服务器时使用安全连接，是保护服务器和敏感数据的关键步骤。
删除不活动的用户账户
定期审查并删除服务器上不再使用的用户账户，可以有效降低安全风险。未使用的用户账户可能成为攻击者的目标，如果这些账户的凭据被泄露或未设置足够强的安全措施，可能会导致服务器被入侵。
使用最低权限原则
为每个用户分配执行任务所需的最低权限，避免不必要的权限开放。通过严格限制权限，可以有效减少潜在的安全漏洞，降低系统被滥用或入侵的风险。
安装 Web 应用防火墙（WAF）
安装和配置 Web 应用防火墙（WAF）是保障网站安全的有效方式。通过过滤恶意流量、阻止常见的 Web 攻击以及防御 DDoS，WAF 可以显著提升您网站的安全性。
加密数据传输
确保所有传输中的数据都经过加密是保护网站和服务器安全的关键措施之一。通过使用 TLS（传输层安全协议）和 AES（高级加密标准）等加密技术，可以有效防止敏感信息在传输过程中被拦截和窃取。