Всем привет. вопрос по nginx + php-fpm, они в разных контейнерах,

Question

Всем привет. вопрос по nginx + php-fpm, они в разных контейнерах,

связаны unix-сокетом, но это неважно. Для того, чтобы сказать php-fpm какой скрипт выполнить, в nginx есть такая строка:

fastcgi_param SCRIPT_FILENAME /var/www/$fastcgi_script_name;

Т.е, если кто-то имеет доступ к сокету или порту пхп, то может выполнить любой произвольный скрипт и лазить по системе под правами php-fpm. Мне хочется сделать так, чтобы запросы, которые приходят в php-fpm, могли обращаться только к файлам из определенной директории, например /app. Т.е. сделать /app или /app/public_html корнем, но без chroot. Он сдесь не подходит, т.к. скрипты в своей работе используют файлы на уровень выше /app и запереть их там не получится.

"chdir" тоже не помогает, и легко обходится при указании пути в абсолютном виде

Какие могут быть варианты?

#devops #programming #russian

0

23.08.2023

14 ответов

6 просмотров

Daniel Автор вопроса

Alexander 🐕 Chistyakov
Можно узнать, нафиг это может быть нужно?

я хочу вынести указание полного пути до скриптов из конфига nginx только в конфиг php-fpm

0

8 месяцев назад

Alexander 🐕 Chistyakov

Daniel
я хочу вынести указание полного пути до скриптов и...

Зачем?

0

8 месяцев назад

Daniel Автор вопроса

Alexander 🐕 Chistyakov
Можно узнать, нафиг это может быть нужно?

т.е. я не хочу указывать: fastcgi_param SCRIPT_FILENAME /var/www/$fastcgi_script_name; я хочу указывать так: fastcgi_param SCRIPT_FILENAME $fastcgi_script_name;

0

8 месяцев назад

Daniel Автор вопроса

Alexander 🐕 Chistyakov
Зачем?

чтобы настройки одного компонента не хранились в настройках другого. в духе: есть сокет - ты туда шли, а дальше мы сами

0

8 месяцев назад

Alexander 🐕 Chistyakov

Daniel
чтобы настройки одного компонента не хранились в н...

Я все еще не могу понять, зачем это

0

8 месяцев назад