Безопастность. Chroot для Apache

Ко всем системным файлам в любое случае не должен быть доступ. А доступ на чтение ко всяким системным библиотекам - там ничего секретного нет.

Если же все действительно так плохо и хочется делать в chroot - есть много вариантов как это можно сделать. И апачем, и php-fpm.

Если у каждого проекта свой владелец, проекты независимы - никакого "доступа к файлам других сайтов" быть не должно. Используйте хоть тот минимум, что позволяет PHP. Например, директиву open_basedir.

Хотите большего - можно что-то типа PHP-CGI взять + suexec под отдельных пользователей.

потёр...сори за офф топ

mpm-itk заменяет чрут

тогда уж сразу php as fastcgi для нескольких проектов самое оно, ну и php-fpm как сказали выше тоже хорош.

ТС говорил про доступ к системным файлам, а не к файлам других пользователей.

php cgi, suexec и прочее не даст запрет на доступ к системным файлам

Не только. Во-первых, сказано следующее:

"Конфигурация Apache по-умолчанию позволяет из корня одного сайта получать доступ к файлам других сайтов и к корню сервера. "

"php cgi, suexec и прочее не даст запрет на доступ к системным файлам" - а какая в них тайна?

В случае если CHMOD установлен правильно, то получить доступ к файлам от имени пользователя не являющегося владельцем этих файлов не представляется возможным.

Рекомендую установить mod_suphp (php-CGI) (http://www.suphp.org/), Вы сможете получить максимальную безопасность с небольшой потерей в производительности.

Или же mod_php + suhosin patch (http://www.hardened-php.net/suhosin/) + грамотно настроенные директивы типа: open_basedir.

И для обеих методов рекомендую привести список запрещенных функций в PHP.INI (параметр disable_functions) к следующему виду:

set_time_limit-то чем не угодил?

stack, а чем suphp отличается от php-cgi+suexec?

А зачем ограничивать доступ к системным файлам? Там ге надо - и так все ужато