如何在广泛的PHP配置基础上设置安全的PHP环境

Question

我刚刚完成了一个我想要作为开源发布的CMS。该程序有一些ini_set()指令来设置安全环境，如session.use_only_cookies等。问题是某些主机不允许ini_set()并且只允许使用{{1}进行配置文件。有没有办法在广泛的PHP配置上建立安全的PHP环境？其他PHP程序如何面对这个问题（例如Wordpress，Drupal等）。

Answer 1

一般来说：

• 在您的软件中：
  • 尝试不依赖于太多的系统范围设置
  • 有一些可以使用默认设置 （请参阅默认PHP安装提供的php.ini文件 - 来自php.net和主要文件） Linux发行版）
• 写一些简短明了的要求
• 编写某种安装脚本，它将：
  • 自动检查这些要求，
  • 并解释如何设置未正确配置的

Answer 2

如果遇到您认为不安全的设置，可以输出警告。

许多网络应用都是这样做的，例如如果未删除安装脚本，或者管理员具有默认密码。