什么是防跨站攻击？

防跨站攻击（跨站目录访问）是指通过漏洞或配置缺陷，使一个站点的用户能够访问或操作同一服务器上其他站点的文件。在共享主机或云服务器中，多个网站运行在同一系统下，若权限设置不当，攻击者可利用PHP的include、fopen等函数读取其他站点的配置文件、数据库信息甚至执行恶意代码。正确配置防跨站权限是保障多站点隔离安全的基础措施。

常见防跨站权限设置方法

1. 使用PHP的 open_basedir 指令

通过限制PHP脚本能够访问的目录范围，将每个站点的文件系统限制在其根目录下。例如，在Apache的.htaccess或Nginx的fastcgi_param中添加：
php_admin_value open_basedir "/var/www/html/site1/:/tmp/"
注意需保留/tmp/等公共临时目录，否则会影响Session或上传功能。

2. 禁用危险PHP函数

在php.ini或面板中禁用exec、system、shell_exec、passthru、popen以及可能绕过开放目录限制的函数如posix_mkfifo、proc_open等。同时检查disable_functions列表是否包含symlink、stream_select等风险函数。

3. 配置Web服务器用户权限

• Apache/Nginx用户隔离：确保每个站点使用独立的系统用户运行，通过PHP-FPM池配置实现用户ID分离。例如Nginx使用fastcgi_pass指向不同socket，每个socket由不同系统用户启动。
• 目录权限最小化：站点目录权限设置为755（目录）或644（文件），属主为对应站点用户，禁止其他用户写入。将日志、缓存等可写目录独立并限制执行权限。

4. 利用主机面板自带功能

大多数IDC提供的面板（如宝塔、WDCP、AMH等）内置“防跨站”开关。开启后自动为每个站点设置open_basedir并禁止跨目录操作。例如在宝塔面板中，进入“网站”设置 → “防跨站攻击”开启即可。注意某些面板需要同时配置PHP版本和运行模式（如FastCGI）才能生效。

验证与排错

配置完成后，可通过以下方式测试：

1. 在其他站点目录下放置一个简单测试文件（如test.txt），通过目标站点的PHP脚本尝试读取该文件。
2. 检查PHP错误日志中是否出现open_basedir restriction in effect提示，确认限制已生效。
3. 使用像pathinfo.php等公开测试脚本模拟跨站攻击，观察是否被拦截。

注意事项

避免过度限制：严格限制open_basedir可能导致某些CMS插件（如备份、更新功能）无法正常工作，需在安全与便利间平衡。建议为每个站点单独设置，并保留/tmp、/var/lib/php/session等必要目录。
定期审计：即使开启了防跨站，仍应定期检查站点文件权限和用户权限分配，防止因升级或误操作导致配置失效。