ฉันควรเลียนแบบ PHP ผ่าน FastCGI หรือไม่

ฉันกำลังติดตั้ง PHP เวอร์ชันล่าสุดลงบน IIS 7.5 ผ่าน FastCGI และคำแนะนำทั้งหมดบอกว่า FastCGI ควรแอบอ้างเป็นลูกค้าที่โทรโดยการตั้งค่า

 fastcgi.impersonate = 1

หากเว็บไซต์ของฉันจะมีการกำหนดค่านี้

• พูลแอ็พพลิเคชันเฉพาะ
• application pool identity ของ ApplicationPoolIdentity
• การพิสูจน์ตัวตนแบบไม่ระบุชื่อเท่านั้น (เป็น IUSR)

เหตุใดฉันจึงต้องการแอบอ้างบุคคลอื่น

ฉันมาจากพื้นหลัง ASP.NET ที่ IUSR ได้รับสิทธิ์อ่านอย่างเดียวและข้อมูลประจำตัวของกลุ่มแอพลิเคชันได้รับสิทธิ์ในการเขียนใด ๆ การให้สิทธิ์การเข้าถึงแบบเขียนไปยัง IUSR มักเปิดประตูสำหรับช่องโหว่ WebDAV ดังนั้นฉันลังเลที่จะปล่อยให้ PHP ทำงานเป็น IUSR

ฉันไม่สามารถหาคนมากมายที่ถามคำถามนี้ ( 1 | 2 ) ดังนั้นฉันคิดว่าฉันต้องคิดถึงบางสิ่ง บางคนสามารถอธิบายเรื่องนี้ให้ฉันได้ไหม

13 เดือนต่อมาฉันต้องการทบทวนคำถามของฉันอีกครั้ง ในเวลานั้นฉันได้โอนเว็บไซต์ครึ่งโหลจาก IIS 6 ไปเป็น IIS 7.5 และกำหนดค่าด้วยวิธีที่ฉันต้องการ ทั้งหมดที่ฉันสามารถพูดได้ก็คือเว็บไซต์ใช้งานได้พวกเขาไม่ได้มีปัญหาด้านความปลอดภัย (ไม่ใช่ว่าเป็นเว็บไซต์ยอดนิยม) และในความคิดของฉันการตั้งค่านั้นมีความปลอดภัยมากกว่าสิ่งที่ learn.iis.net แนะนำ

สำหรับลูกหลานนี่เป็นการตั้งค่าที่เกี่ยวข้อง ใน PHP INI:

cgi.force_redirect = 0
cgi.fix_pathinfo=1
fastcgi.impersonate = 0

ใน IIS:

• Application Pool> เอกลักษณ์> ApplicationPoolIdentity
• เว็บไซต์> การพิสูจน์ตัวตน> การพิสูจน์ตัวตนแบบไม่ระบุชื่อ> ผู้ใช้เฉพาะ: IUSR

สิทธิ์ NTFS และตำแหน่งที่จะใช้:

• IUSR - อนุญาตให้อ่านปฏิเสธเขียน
  • ไดเรกทอรีรากของเว็บไซต์ IIS ตัวอย่างเช่นในโครงการ Zend Framework สิ่งนี้จะเป็น / public directory
  • หากแอปพลิเคชันของคุณอัปโหลดไฟล์และบันทึกไว้ในไดเรกทอรีสาธารณะคุณจะต้องใช้สิทธิ์นี้กับไดเรกทอรีอัปโหลดชั่วคราว เนื่องจากmove_uploaded_fileจะรักษาสิทธิ์ของไดเรกทอรีอัปโหลด นี่คือข้อเสียเปรียบที่ใหญ่ที่สุดของการตั้งค่าการอนุญาตนี้ที่ฉันได้พบ
• ApplicationPoolIdentity ( IIS AppPool\<<YourApplicationPoolName>>) - ให้สิทธิ์การอ่าน & รายการ
  • รากของแอพพลิเคชัน PHP ของคุณ ตัวอย่างเช่นในโครงการ Zend Framework สิ่งนี้จะเป็นโครงการทั้งหมด
  • ไลบรารีภายนอกใด ๆ (Zend, Doctrine ฯลฯ ) รวมอยู่ในแอปพลิเคชันของคุณซึ่งไม่ได้อยู่ในโฟลเดอร์แอปพลิเคชัน
• ApplicationPoolIdentity - อนุญาตให้ปรับเปลี่ยน
  • สถานที่ใด ๆ ที่ใบสมัครของคุณจะเขียนเช่นupload_tmp_dir, และsession.save_patherror_log
  • บางครั้งผมก็ต้องเพิ่มสิทธิ์นี้ไปยังรากของโปรแกรม PHP ในการพัฒนาสภาพแวดล้อมของฉันที่จะสนับสนุนสิ่งที่เหมือนคำสอนของรถยนต์รุ่นผู้รับมอบฉันทะ
• ApplicationPoolIdentity - รายการสิทธิ์
  • หากแอปพลิเคชันของคุณอยู่ในไดเรกทอรีเสมือนคุณจะต้องเพิ่มสิทธิ์นี้ในรูทของเว็บไซต์ สิ่งนี้ทำให้แอปพลิเคชันของคุณอ่าน parent web.config ตัวอย่างเช่นหากรูทแอปพลิเคชันของคุณคือhttp://example.com/MyPHPAppให้ตั้งค่าการอนุญาตนี้ในเว็บไดเรกทอรี example.com คุณต้องใช้เฉพาะกับ "โฟลเดอร์และไฟล์นี้", "ภายในคอนเทนเนอร์นี้เท่านั้น"

ฉันหวังว่านี่จะช่วยคนอื่นที่ตัดสินใจว่าคำแนะนำ learn.iis.net นั้นไม่เหมาะ

ดู: http://www.php.net/manual/en/install.windows.iis6.php

การแอบอ้างบุคคลอื่นและการเข้าถึงระบบไฟล์

ขอแนะนำให้เปิดใช้งานการรับบทบาท FastCGI ใน PHP เมื่อใช้ IIS สิ่งนี้ถูกควบคุมโดยคำสั่ง fastcgi.impersonate ในไฟล์ php.ini เมื่อเปิดใช้งานการรับบทบาท PHP จะดำเนินการระบบไฟล์ทั้งหมดในนามของบัญชีผู้ใช้ที่ได้รับการกำหนดโดยการรับรองความถูกต้องของ IIS

ตามเอกสารมันอนุญาตให้ fastcgi ดำเนินการในนามของลูกค้าโดยใช้การอนุญาตเดียวกันทั้งหมด (ในกรณีของคุณคือสิ่งที่ดูเหมือนบัญชี IUSR) กล่าวอีกนัยหนึ่งคือการกระทำทั้งหมดที่ได้รับอนุญาตตามข้อมูลประจำตัวของลูกค้า (หรืออานนท์) ไม่มากไม่น้อย. หากไม่มีฉากนี้ฉันก็นึกภาพ fastcgi ที่ไม่ดีจะถูกทำให้ง่อย