php.ini förklarad: uppbyggnad, nivåer och företräde

Kort sagt: php.ini är PHP:s centrala konfigurationsfil. PHP läser den vid start, med servermoduler en gång, med CGI och CLI vid varje anrop. Dessutom tillkommer tilläggsfiler från en skanningskatalog, inställningar i FPM-poolen eller i Apache, .htaccess respektive .user.ini och ini_set() i koden. Vilken nivå som får ändra ett värde avgör dess ändringsläge, till exempel INI_SYSTEM eller INI_PERDIR. Värden satta med php_admin_value kan applikationen inte längre skriva över.

Vad är php.ini?

php.ini är en textfil med poster enligt mönstret name = wert. Den avgör hur PHP beter sig: hur mycket minne ett skript får använda, om fel visas i webbläsaren, hur sessioner fungerar och vilka tillägg som laddas. Kommentarer inleds med semikolon.

Enligt PHP-manualen läses filen när PHP startar. Med servermoduler som mod_php sker det bara en gång, vid webbserverns start, med CGI och CLI vid varje anrop. PHP-FPM läser sin konfiguration vid start och när tjänsten laddas om. En ändring utan omstart eller omladdning verkar därför oftast inte.

Sedan PHP 8.3 kan en post enligt manualen hänvisa till en miljövariabel med reservvärde:

memory_limit = ${PHP_MEMORY_LIMIT}
max_execution_time = ${PHP_MAX_EXECUTION_TIME:-30}

Var söker PHP efter php.ini?

Manualen beskriver en fast ordning. Först gäller en uttryckligen angiven sökväg, till exempel PHPIniDir i Apache eller alternativet -c vid CGI och CLI. Annars bygger PHP upp en sökväg av:

1. miljövariabeln PHPRC,
2. under Windows registerposten IniFilePath,
3. den aktuella arbetskatalogen, utom för SAPI som stänger av det, till exempel CLI,
4. katalogen för PHP-binärfilen respektive modulen,
5. sökvägen --with-config-file-path som sattes vid kompileringen.

I den här sökvägen letar PHP först efter en fil php-SAPI.ini, till exempel php-cli.ini, och först därefter efter php.ini. Därefter läser PHP alla .ini-filer i skanningskatalogen, som anges med PHP_INI_SCAN_DIR eller vid kompilering med --with-config-file-scan-dir, i alfabetisk ordning. Vilka filer som laddades visar php --ini eller funktionen php_ini_scanned_files().

php --ini
php -r 'var_dump(php_ini_loaded_file(), php_ini_scanned_files());'

Båda kommandona visar kommandoradens läge. För webbplatsen kan en annan fil gälla, eftersom varje SAPI kan ha sin egen konfiguration; mer om detta under SAPI förklarat.

Ändringslägen: vem får sätta vilket värde?

Inte varje inställning får sättas överallt. Manualen tilldelar varje direktiv ett ändringsläge:

Exempel från manualen: memory_limit har läget INI_ALL och standardvärdet 128M, post_max_size har INI_PERDIR och standardvärdet 8M, upload_max_filesize har INI_PERDIR och standardvärdet 2M. expose_php får bara stå i php.ini.

.user.ini-filer läses enligt manualen bara av CGI- och FastCGI-SAPI, alltså även av PHP-FPM. PHP söker efter dem från skriptets katalog uppåt till document root och läser dem som standard om högst var 300:e sekund (user_ini.cache_ttl). Under mod_php tar .htaccess över den rollen.

Vilket värde gäller till sist? Nivåerna och företrädet

Förenklat gäller: Ju senare en nivå slår in, desto troligare är det att dess värde gäller, så länge ändringsläget tillåter det.

1. php.ini för respektive SAPI
2. Tilläggsfiler från skanningskatalogen, alfabetiskt
3. Serverkonfiguration: FPM-pool med php_value respektive php_admin_value, Apache-VirtualHost
4. Katalognivå: .htaccess vid mod_php, .user.ini vid FPM och CGI
5. Körtid: ini_set() i applikationskoden

Undantaget är avgörande: Värden satta med php_admin_value eller php_admin_flag kan enligt manualen inte skrivas över med ini_set(). Därmed låser administratörer säkerhetsrelevanta inställningar mot applikationen. Det beskrivs utförligt i php_admin_value: låsa inställningar mot överskrivning.

php.ini efter PHP2Shell: vad som har ändrats

Övergångsåtgärderna från php.net för PHP2Shell är nästan alla INI-inställningar: memory_limit=-1 låst mot överskrivning, begränsad post_max_size, session.upload_progress.enabled=0 och på PHP 8.5 fatal_error_backtraces=0. php.net betonar att session.upload_progress.enabled inte ska sättas via ini_set() eller .user.ini, utan i php.ini, FPM-poolen eller serverkonfigurationen, med efterföljande omstart av alla workers. Den fullständiga listan står under Omedelbara åtgärder när ni ännu inte kan patcha.

Med de rättade versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35 har enligt manualen också memory_limit ändrats: Den är nu en mjuk gräns. Den nya inställningen memory_hard_limit_percent fastställer en hård gräns. Utan eget värde uppgår den till det dubbla av memory_limit, vid mer än 1G till värdet plus 1G. Överskrids den avslutas processen omedelbart med exit-status 137. Hur ni väljer båda gränserna rimligt förklaras i Sätta memory_limit rätt.

Hur hjälper PHP SOS konkret?

• Fastställa verksamma värden: Vi läser för varje SAPI ut vilka filer som laddas och vilket värde som till sist gäller.
• Städa nivåerna: Vi tar bort motstridiga poster från paneler, pooler, .htaccess och .user.ini.
• Sätta lås: Inom ramen för serverhärdning fastställer vi säkerhetsrelevanta värden med php_admin_value.
• Styrka: Vi dokumenterar inställningar och omstart så att läget går att belägga i efterhand.

Vanliga frågor

Källor

• PHP-manualen: konfigurationsfilen
• PHP-manualen: INI-ändringslägen
• PHP-manualen: .user.ini-filer
• PHP-manualen: kärninställningar