problema de segurança www-data em vários sites em um vps

Question

Eu comprei recentemente um VPS e aprendi muito com isso. Gerenciei para criar um usuário ftp, defini-lo como o proprietário da raiz de documentos do meu site, adicioná-lo ao grupo de usuários www, definir o grupo como o grupo da raiz do documento e dar permissões aos arquivos 0775 (0664).

Minha pergunta é, se www-data puder acessar e modificar os arquivos na raiz do documento, os scripts de outros sites também não poderão modificar esses arquivos (que agora estão protegidos do público usando .htaccess)?

OBSERVAÇÃO: Eu quero que o www-data tenha acesso de gravação, pois os scripts PHP devem poder modificar os arquivos.

Como resolver esse problema?

    

Answer 1

Para resolver esse problema, você precisou executar cada instância do site com sua própria credencial, em vez de usar www-data .

Se estiver usando apache , você pode usar apache-mpm-itk e seu parâmetro AssignUserID para atribuir um usuário específico / grupo para cada site / virtualhost diferente. Com esse método, apache , php , cgi , ecc serão executados com as credenciais atribuídas.

Outra abordagem específica do php é suPHP , que basicamente executa seus scripts php usando credenciais específicas de usuário / grupo .

    

Answer 2

Acho melhor não permitir que o usuário ou grupo do Apache escreva em toda a raiz do seu documento. Use o apache-mpm-itk / suPHP / mpm-peruser ou não, talvez você deva detectar quais arquivos e diretórios o Apache realmente precisa escrever (por site), e dar permissões de escrita de grupo somente para esses arquivos / diretórios.