谢谢各位大神的帮助

关于服务器安全涉及面比较广，重点回答下第二个问题，如何设置web目录的权限？

• 通常情况下，需要对apache/nginx及php设置运行的用户组web和所属用户www。

• 将web目录的用户和用户组设置为www和web，如下命令：chown -R web:www /usr/local/nginx/html

• 设置web目录权限为750，750是www用户对目录拥有读写执行的权限，这样www用户可以在任何目录下创建文件，用户组有有读执行权限，这样才能进入目录，其它用户没有任何权限。

• 设置web目录下的文件权限为640，640指只有www用户对网站文件有更改的权限，web服务器只有读取文件的权限，无法更改文件，其它用户无任何权限。

• 一些特殊目录给予可写权限，比如cache目录和upload目录。

1. 目录权限

2. 防火墙

3. root用户禁止远程登录（可以使用其他账户远程登录之后再切换用户到root）

做好这些，基本没有问题了

http://onwise.xyz/?p=214链接描述

我就不说太多虚的东西来撑场子了，Nginx用户组不要直接用root单独建，文件权限根据具体的情况给，一般655够用，Linux服务器通常80端口没有权限，要用nginx做反向代理，另外前端跟api接口的通信要做csrf攻击处理，弄个token令牌。SQL注入这些如果你用pdo什么的或者其他php框架一般都有做处理了，不过还是建议自己看看实现机制。负载均衡那些就不说了，ddos攻击这种一般小公司也很少遇到。对于开发来说安全大概就这些，再深一些运维的那些咱就不懂了。