<?xml version="1.0" encoding="utf-8"?>

<chapter xml:id="security.apache" xmlns="http://docbook.org/ns/docbook">

<title>Если PHP установлен как модуль Apache</title>

<simpara>

Если <acronym>PHP</acronym> используется как модуль Apache, он

наследует права пользователя, с которыми был запущен веб-сервер

(обычно это пользователь "nobody"). Это влияет на обеспечение

безопасности и реализацию авторизации. Например, если вы

используете <acronym>PHP</acronym> для доступа к базе данных,

которая не имеет встроенного механизма разграничения доступа,

вам придётся обеспечить доступ к БД для пользователя 'nobody'.

В таком случае вредоносный скрипт может получить доступ к базе

данных и модифицировать её, даже не зная логина и пароля.

Вполне возможна ситуация, при которой веб-паук неверными запросами

на страницу администратора базы данных может уничтожить все ваши

базы данных. Вы можете избежать такой ситуации при помощи авторизации Apache

или разработав собственную модель доступа, используя LDAP, файлы &htaccess; или

любые другие технологии, внедряя соответствующий код в ваши

<acronym>PHP</acronym>-скрипты.

</simpara>

<simpara>

Достаточно часто используются такие настройки безопасности, при которых

<acronym>PHP</acronym> (имеется в виду пользователь, с правами

которого выполняется Apache) имеет минимальные привилегии,

например, отсутствует возможность записи в пользовательские директории

с помощью <acronym>PHP</acronym>. Или, например, отсутствует

возможность работать с базой данных. При этом система

безопасности не позволяет записывать как "хорошие", так и

"плохие" файлы, или провести "хорошие" или "плохие" транзакции.

</simpara>

<simpara>

Распространённой ошибкой является запуск Apache с правами

суперпользователя или любое другое расширение полномочий веб-сервера.

</simpara>

<simpara>

Расширение привилегий веб-сервера до полномочий суперпользователя

угрожает работоспособности всей системы, поэтому такие команды,

как sudo, chroot и другие способы запуска с правами

суперпользователя должны выполняться исключительно теми, кто

профессионально разбирается в вопросах безопасности.

</simpara>

<simpara>

Существует несколько простых решений. Используя

<link linkend="ini.open-basedir">open_basedir</link>,

вы можете ограничить дерево доступных директорий для

<acronym>PHP</acronym>. Вы так же можете определить область

доступа Apache, ограничив все действия, совершаемые из веба

не пользовательскими или несистемными файлами.

</simpara>

</chapter>