Quale utente dovrebbe essere NGinx e PHP in esecuzione?

Le autorizzazioni sono qualcosa che mi ha confuso per un po 'con Linux. Quindi al momento entrambe le mie istanze NGinx e PHP-FPM sono in esecuzione con l'utente e il gruppo:

www-data

È questo standard? Ho dei problemi quando mi imbatto nel caricamento di file.

Esempio , un file verrebbe caricato sia con l'utente che con i dati www del gruppo. Ora, a causa di come ho impostato le autorizzazioni (0440) nella mia applicazione web, non riesco ad accedere tramite ssh con il mio account normale per scaricare quei file. Questo non può essere cambiato.

Stavo pensando di cambiare la mia istanza nginx e php per mantenere il gruppo, ma cambiarli per farli funzionare con il mio nome utente.

Qual è il modo corretto di gestire le autorizzazioni qui? Grazie.

Funziona così: quando accedi tramite FTP / SSH e carichi file, questi vengono creati con le tue autorizzazioni. Probabilmente il tuo webroot è scrivibile dal mondo (0777), che è insicuro - ogni utente nel sistema può scrivere qualcosa lì. PHP viene eseguito con privilegi utente diversi (sono specificati nella configurazione PHP-FPM, non nella configurazione nginx) e poiché la directory è scrivibile dal mondo, l'utente PHP (dati www) può anche scrivere lì. Ma il proprietario di questo file è www-data, non il tuo account. Sono 2 account distinti nel livello di autorizzazione del filesystem.

Ti consiglio di creare un utente dedicato con il minor numero possibile di privilegi, che possederebbe la directory webroot e sarebbe usato per il caricamento FTP / SSH E eseguirà php. Dovresti cambiare la configurazione di PHP-FPM, nella sezione worker ci sono voci utente e configurazione di NGINX, in modo da poter rendere i file del tuo sito web non leggibili dal mondo e più sicuri.

Non eseguire PHP con utenti privilegiati (funzioni sudo, privilegi di scrittura docroot esterni) che potrebbero compromettere la sicurezza del server.

L' www-datautente e il gruppo sono abbastanza standard. Può essere www o web su altri sistemi, ma l'idea è la stessa: eseguire i servizi Web con un account dedicato. Pertanto, quando il tuo server web è compromesso, l'attaccante sarà in grado di accedere solo ai file concessi da questo account.

Se un utente deve gestire i servizi Web, è necessario aggiungere l'utente al gruppo pertinente (dati www) o consentirgli di eseguire il su (o il comando sudo) all'utente pertinente (sempre dati www).

Cerco di evitare che nginx / php esegua script di proprietà dei dati www per motivi di sicurezza.