1）display_errors 错误回显，一般常用语开发模式，但是很多应用在正式环境中也忘记了关闭此选项。错误回显可以暴露出非常多的敏感信息，为攻击者下一步攻击提供便利。推荐关闭此选项。 display_errors = On 开启状态下，若出现错误，则报错，出现错误提示。即显示所有错误信息。 dispaly_errors = Off 关闭状态下，若出现错误，则提示：服务器错误，但是不会出现错误提示。即关闭所有错误信息 2）log_errors 在正式环境下用这个就行了，把错误信息记录在日志里。正好可以关闭错误回显。 log_errors = On //注意，log_errors设置为On后，那么dispaly_errors就要设置为Off，这两个不能同时打开。 error_log = /Data/logs/php/error.log //注意，log_errors设置为On时，必须要设置error_log的日志文件路径，并且这个日志文件要能有权限正常写入。 也就是说log_errors = On时，必须指定error_log文件，如果没指定或者指定的文件没有权限写入，那么照样会输出到正常的输出渠道，那么也就使得display_errors 这个指定的Off失效，错误信息还是打印了出来。 对于PHP开发人员来说，一旦项目上线后，第一件事就是应该将display_errors选项关闭，以免因为这些错误所透露的路径、数据库连接、数据表等信息而遭到黑客攻击。 --------------------------------------------------- 一般说来： 测试环境下的php.ini中的错误日志设置： error_reporting = E_ALL display_errors = On html_errors = On log_errors = Off 正式环境下的php.ini中的错误日志设置： error_reporting = E_ALL &~ E_NOTICE &~ E_WARNING //注意这个设置，记得有一次因为这个设置有误，导致了线上一个业务访问出现了nginx 500报错！这个导致了php框架报错！ display_errors = Off log_errors = On html_errors = Off error_log = /Data/logs/php/error.log ignore_repeated_errors = On ignore_repeated_source = On 简单讲解下各个配置的意义： error_reporting ：设置报告哪些错误 display_errors ：设置错误是否作为输出的一部分显示 html_errors ：设置错误信息是否采用html格式 log_errors ：设置是否记录错误信息 error_log ：设置错误信息记录的文件 ignore_repeated_errors ：是否在同一行中重复显示一样的错误信息 ignore_repeated_source ： 是否重复显示来自同个文件同行代码的错误
顺便记录下php的页面老是报时区错误的处理过程：
Warning: phpinfo(): It is not safe to rely on the system's timezone settings. You are *required* to use the date.timezone setting or the date_default_timezone_set() function. In case you used any of those methods and you are still getting this warning, you most likely misspelled the timezone identifier. We selected the timezone 'UTC' for now, but please set date.timezone to select your timezone. in /usr/local/www/zabbix2/phpinfo.php on line 2 date/time support enabled "Olson" Timezone Database Version 2013.8 Timezone Database internal Default timezone UTC 修改php.ini 文件 # vim /usr/local/php/etc/php.ini ........ [Date] ; Defines the default timezone used by the date functions ; date.timezone = Asia/Shanghai 注意必须把要 php.ini 复制一份到/usr/local/php/lib/下，否则 php 服务默认会到这个 lib 目录下读取 php.ini 文件，没有的话，就是默认时区UTC，这个时区和北京时间相差8小时。 [root@i-gxcmjlge lib]# pwd /usr/local/php/lib [root@i-gxcmjlge lib]# ll total 72 drwxr-xr-x 14 root root 4096 Nov 18 01:11 php -rw-r--r-- 1 root root 65681 Nov 18 15:01 php.ini 然后重启php服务和nginx/apache服务
除了php.ini文件，还要注意php-fpm.conf配置，如下：
[root@i-v5lmgh7y etc]# cat php-fpm.conf|grep -v "^;"|grep -v "^$" [global] pid = run/php-fpm.pid //pid 设置，默认在安装目录中的 var/run/php-fpm.pid，建议开启 error_log = log/php-fpm.log //错误日志，默认在安装目录中的 var/log/php-fpm.log log_level = notice //错误级别. 可用级别为: alert（必须立即处理）, error（错误情况）, warning（警告情况）, notice（一般重要信息）, debug（调试信息）. 默认: notice. emergency_restart_threshold = 60 emergency_restart_interval = 60s //表示在emergency_restart_interval所设值内出现SIGSEGV或者SIGBUS错误的php-cgi进程数如果超过 emergency_restart_threshold个，php-fpm就会优雅重启。这两个选项一般保持默认值。 process_control_timeout = 0 //设置子进程接受主进程复用信号的超时时间. 可用单位: s(秒), m(分), h(小时), 或者 d(天) 默认单位: s(秒). 默认值: 0. daemonize = yes //后台执行fpm,默认值为yes，如果为了调试可以改为no。在FPM中，可以使用不同的设置来运行多个进程池。 这些设置可以针对每个进程池单独设置。 [www] user = nobody //启动进程的帐户 group = nobody //启动进程的组 listen = 127.0.0.1:9000 //fpm监听端口，即nginx中php处理的地址，一般默认值即可。可用格式为: 'ip:port', 'port', '/path/to/unix/socket'. 每个进程池都需要设置. listen.backlog = 1024 //backlog数，，由操作系统决定，-1表示无限制。也可以注释掉此行。 listen.allowed_clients = 127.0.0.1 //（可以不设置此行）允许访问FastCGI进程的IP，如果没有设置或者为空，则允许任何服务器请求连接。设置any为不限制IP，如果要设置其他主机的nginx也能访问这台FPM进程，listen处要设置成本地可被访问的IP。默认值是any。每个地址是用逗号分隔. pm = static //对于专用服务器，pm可以设置为static，如何控制子进程，选项有static和dynamic。如果选择static，则由pm.max_children指定固定的子进程数。如果选择dynamic，则由下开参数决定： pm.max_children = 512 //子进程最大数 pm.start_servers = 387 //启动时的进程数 pm.min_spare_servers = 32 //保证空闲进程数最小值，如果空闲进程小于此值，则创建新的子进程 pm.max_spare_servers = 387 //保证空闲进程数最大值，如果空闲进程大于此值，此进行清理 pm.max_requests = 1024 //设置每个子进程重生之前服务的请求数. 对于可能存在内存泄漏的第三方模块来说是非常有用的. 如果设置为 '0' 则一直接受请求. 等同于 PHP_FCGI_MAX_REQUESTS 环境变量. 默认值: 0 pm.status_path = /status //fpm状态页面的网址. 如果没有设置, 则无法访问状态页面. 默认值: none. munin监控会使用到 ping.path = /ping //fpm监控页面的ping网址. 如果没有设置, 则无法访问ping页面. 该页面用于外部检测FPM是否存活并且可以响应请求. 请注意必须以斜线开头 (/)。可以不设置此行。 ping.response = pong //用于定义ping请求的返回相应. 返回为HTTP 200的text/plain 格式文本. 默认值: pong。可以不设置此行。 slowlog = var/log/slow.log //慢请求的记录日志,配合request_slowlog_timeout使用 request_slowlog_timeout = 0 //设置单个请求的超时中止时间. 该选项可能会对php.ini设置中的'max_execution_time'因为某些特殊原因没有中止运行的脚本有用. 设置为 '0' 表示 'Off'.当经常出现502错误时可以尝试更改此选项。 request_terminate_timeout = 10s //当一个请求该设置的超时时间后，就会将对应的PHP调用堆栈信息完整写入到慢日志中. 设置为 '0' 表示 'Off'。可以不设置此行。 rlimit_files = 65535 //设置文件打开描述符的rlimit限制. 默认值: 系统定义值默认可打开句柄是1024，可使用 ulimit -n查看，ulimit -n 2048修改。 rlimit_core = 0 //设置核心rlimit最大限制值. 可用值: 'unlimited' 、0或者正整数. 默认值: 系统定义值. catch_workers_output = yes //重定向运行过程中的stdout和stderr到主要的错误日志文件中. 如果没有设置, stdout 和 stderr 将会根据FastCGI的规则被重定向到 /dev/null . 默认值: 空.
------------------------Nginx+Php中限制站点目录防止跨站的配置方案记录（使用open_basedir）-------------------
方法1）在Nginx配置文件中加入：
fastcgi_param PHP_VALUE "open_basedir=$document_root:/tmp/:/proc/";
通常nginx的站点配置文件里用了include fastcgi.conf;，这样的，把这行加在fastcgi.conf里就OK了。
如果某个站点需要单独设置额外的目录，把上面的代码写在include fastcgi.conf;这行下面就OK了，会把fastcgi.conf中的设置覆盖掉。
这种方式的设置需要重启nginx后生效。
方法2）在php.ini中加入