破防了... 一点点疏忽就可能酿成大祸。Apache2是很多站点的“心脏”， 如果不给它装上海合作适的“护甲”，黑客的刀子会轻易刺穿。下面就跟着我一步步拆解，让你的服务器从“裸奔”变成“铁甲”。

一、先弄清楚运行身份——User 与 Group

我怀疑... Apache 默认以 www-data或 apache身份启动。 如果你把所有文件都交给 root 那可不行——一旦被攻破，整个系统瞬间失守。

1.1 检查当前运行用户

# ps -ef | grep apache2
# 或者
# ps -ef | grep httpd

看到类似 www-data 的用户名了吗？没错，这就是我们要保护的对象。

1.2 正确设置 envvars / httpd.conf 中的 User/Group

编辑对应文件：

# vim /etc/apache2/envvars   
# vim /etc/httpd/conf/httpd.conf 
User www-data
Group www-data

别忘了保存后重启：

# systemctl restart apache2   # Debian/Ubuntu
# systemctl restart httpd     # RHEL/CentOS

二、文件系统权限——让“只读”与“可写”各司其职

反思一下。 这里有个黄金法则：最小权限原则。文件该写就写，其他时候全部只读。

2.1 常用权限表

※ 这里的数字是 chmod 的八进制表示法， 记住 644、755、600 这些组合。

2.2 实际操作示例

# 为站点根目录设置正确所有者
chown -R www-data:www-data /var/www/html
# 文件 644， 目录 755
find /var/www/html -type f -exec chmod 644 {} \;
find /var/www/html -type d -exec chmod 755 {} \;
# 对敏感配置文件加锁，只给 root 看得见
chmod 600 /var/www/html/.env
chown root:root /var/www/html/.env

Aha！这下即使黑客拿到了 web 用户，也只能看见公开页面核心钥匙仍旧紧锁在根用户手中。

三、 SELinux 与 AppArmor——双层防护不是梦

SElinux和 AppArmor是内核级别的强制访问控制， 可不是吗！ 比传统的 POSIX 权限更严密。

3.1 查看当前状态 & 临时放宽策略

# sestatus      # 查看 SELinux 状态
# setenforce 0 # 暂时设为 permissive，仅用于排查问题
# aa-status     # 查看 AppArmor 状态
# aa-disable /etc/apparmor.d/usr.sbin.apache2   # 临时关闭 AppArmor 配置

勇敢一点... ⚠️ 调试结束后一定记得恢复 enforcing 或重新加载策略！否则平安墙会瞬间崩塌。

3.2 正式开启并定制策略示例

# 安装策略工具
yum install policycoreutils-python-utils   # RHEL/CentOS
apt-get install policycoreutils             # Debian/Ubuntu
# 给站点目录添加 httpd_sys_content_t 类型
semanage fcontext -a -t httpd_sys_content_t "/var/www/html?"
restorecon -Rv /var/www/html
# 若需要写入日志或上传功能， 可额外授权：
setsebool -P httpd_unified 1          # 允许 httpd 一边读取/写入同一目录
setsebool -P httpd_enable_homedirs 1 # 若站点在用户家目录下运行

AWS 上跑的一堆实例，我曾经主要原因是忘记加这几条规则而被迫重装系统，那种心情…简直比丢了钱包还难受，我个人认为...。

四、 平安模块加持——mod_security & mod_evasive 等神器登场

恳请大家... Simplify your life! 把防火墙搬到 Apache 层面能提前拦截大多数攻击。

4.1 安装常用模块

# apt-get install libapache2-mod-security2 libapache2-mod-evasive
# 启用模块
a2enmod security2 evasive
# 重启生效
systemctl restart apache2

4.2 基础规则配置片段

    SecRuleEngine On                # 打开引擎
SecRequestBodyAccess On        # 检查 POST 内容
SecDefaultAction "phase:1,log,auditlog,deny,status:403"
# 防止 SQL 注入常见关键字出现次数异常
SecRule ARGS "" \
    "id:1000001,phase:2,t:none,deny,status:403,msg:'SQL Injection attempt'"
# 防止跨站脚本 XSS 攻击
SecRule ARGS "