PHP 怎么私有部署

本文目录导读：

1. 第一步：选择私有部署的基础环境（服务器）
2. 第二步：核心安全与隔离（私有部署的关键）
3. 第三步：部署 PHP 代码（发布方式）
4. 第四步：进程守护与自动化
5. 第五步：日志与监控
6. 第六步：备份与恢复（生死攸关）
7. 总结建议（按场景选择）

在 PHP 中，“私有部署”（Private Deployment / Self-Hosting） 通常指的是将你的 PHP 应用（如网站、API、管理系统）部署到你自己控制的基础设施（物理机、企业内部服务器、私有云）上，而不是使用公共云平台（如 AWS、阿里云、腾讯云）或共享主机。

由于 PHP 本身是解释型语言，没有“编译期”，所以私有部署的核心在于环境配置、服务器搭建和数据安全。

以下是针对不同规模的 PHP 项目，进行私有部署的完整指南：

第一步：选择私有部署的基础环境（服务器）

你需要先确定将 PHP 代码运行在哪种操作系统和服务器软件组合上（俗称“LNMP”或“LAMP”组合）。

1. Linux + Nginx + MySQL + PHP（LNMP栈，目前最主流）
   • 优点：性能较高，内存占用低，适合现代 PHP 框架（Laravel, Symfony）。
   • 适用：对外提供服务的 Web 应用或高并发 API。
2. Linux + Apache + MySQL + PHP（LAMP栈，经典稳定）
   • 优点：配置简单，.htaccess 支持好，适合老项目或重逻辑 CMS（如 WordPress）。
   • 适用：企业内部管理系统，兼容性要求高的场景。
3. Windows Server + IIS + SQL Server + PHP
   • 优点：如果团队只会 C# 或必须用 Windows AD 域集成，这是唯一选择。
   • 适用：重度依赖微软生态系统的中小企业。

第二步：核心安全与隔离（私有部署的关键）

私有部署最大的风险是内部数据泄露和攻击面扩大，这是必须做好的步骤：

1. 强制 HTTPS：
   • 即使在公司内网,也必须使用 HTTPS 加密，不再建议使用自签名证书，推荐使用内网 CA 或开源工具（如 mkcert 或内部的 Vault PKI）。
   • 配置 Nginx/Apache 强制跳转 HTTPS，并启用 HSTS 头。
2. 隔离运行环境（PHP-FPM 用户隔离）：
   • 如果你在服务器上运行多个 PHP 项目（多租户），必须为每个项目创建独立的 Linux 用户和 PHP-FPM 池，否则一个项目被入侵，整个服务器沦陷。
   • 在 PHP-FPM 配置中，设置 user 和 group 为项目专属用户，listen.owner 也必须匹配。
3. 数据库安全：
   • 数据库（如 MySQL）禁止使用 root 账号连接应用。
   • 创建对应业务的数据库账号,并仅授予该数据库的最小权限（SELECT, INSERT, UPDATE, DELETE），不要赋予 DROP 或 ALTER。
   • 如果数据库和应用不在同一台机器,使用 VPN 或防火墙规则，只允许应用服务器的 IP 访问数据库端口（3306）。
4. 隐藏敏感配置：
   • 禁止将 .env 文件放入 Web 可访问目录（/var/www/html），将配置文件放在 Web 根目录之外（/var/www/config/）。
   • 禁止将 Git 仓库（.git）文件夹暴露在 Web 根目录下。

第三步：部署 PHP 代码（发布方式）

PHP 是解释型语言，部署通常指“文件同步”和“依赖安装”。

方案 A：传统服务器部署（适用于中小项目）

1. 代码包传输：
   • 使用 rsync 或 scp 将本地代码（排除 .git 和 node_modules）同步到服务器。
2. 依赖安装：
   • 在服务器上运行 composer install --no-dev（生产环境不装开发依赖）。
   • 如果前端有 npm，需在服务器或 CI 上构建 npm run build，并将 public 目录软连接指向 Nginx 根目录。
3. 目录权限：
   • storage 和 bootstrap/cache（Laravel）需要给予写权限，但建议将用户权限收窄（chown -R www-data:www-data storage）。
4. 平滑重启：
   • systemctl restart php-fpm 或 systemctl reload nginx。

方案 B：Docker 容器化部署（现代化私有云推荐）

这是现在私有化部署的主流,特别是针对企业内部交付。

1. 构建镜像：
   • 基于 php:8.3-fpm 基础镜像，安装 PHP 扩展，复制代码，安装 Composer 依赖。
2. Docker Compose 编排：
   • 包含 nginx、php-fpm、mysql 三个服务。
   • 通过挂载卷（Volume）持久化数据库数据和上传文件。
3. 私有仓库：
   • 在公司内网搭建 Harbor 或 Nexus 作为私有 Docker Registry，Push 镜像，在目标服务器 docker pull 运行。
4. 环境变量注入：
   • 通过 .env 文件或 Docker Secret 传递数据库密码，避免硬编码在镜像中。

第四步：进程守护与自动化

服务器重启或进程崩溃时,PHP 项目需要自动启动或拉起。

• 托管工具：使用 Supervisor 管理 PHP-FPM、队列（Queue Worker）和定时任务（Cron）。
• 配置示例（/etc/supervisor/conf.d/myapp.conf）：

  [program:php-worker]
  process_name=%(program_name)s_%(process_num)02d
  command=php /var/www/myapp/artisan queue:work redis --sleep=3 --tries=3
  autostart=true
  autorestart=true
  user=www-data
  numprocs=8

第五步：日志与监控

私有部署意味着你观察不到云平台自带的监控面板,必须自己搭建。

1. 日志切割：
   • 使用 logrotate 定期切割 PHP 错误日志和 Nginx 访问日志，避免磁盘被占满。
2. 基础监控（可用开源轻量级工具）：
   • Netdata：实时查看 CPU、内存、IO，有 GUI。
   • Prometheus + Grafana：更专业的指标采集。
3. 应用监控：

   在 PHP 中接入 Sentry（可私有化部署）或自建异常日志表，用于记录代码报错。

第六步：备份与恢复（生死攸关）

私有部署的环境完全由你掌控,没有云厂商兜底，必须策略化备份。

1. 数据库备份：
   • 每日凌晨执行 mysqldump 或 pg_dump，备份至不同物理磁盘或远程备份机。
2. 应用文件备份：
   • 备份用户上传的图片、附件目录（/uploads），用 rsync 增量同步。
3. 恢复演练：

   每季度至少进行一次“虚拟机快照回滚”和“数据库恢复”演练，确保备份有效。

总结建议（按场景选择）

• 如果是给不懂技术的客户交付：不要给他们 Linux 命令行，应封装一个 Docker 一键启动脚本（docker-compose up -d）或做一个简单的 Web 安装向导。
• 如果是内部开发环境：直接使用 php artisan serve 或宝塔面板（但需注意宝塔面板本身也存在安全风险，建议关闭公网访问）。
• 如果是政务/涉密环境：必须要求全离线部署（不连外网），这时候 Composer 依赖需要提前打包 vendor 目录，并在本地搭建私有 Composer 源。

最容易踩的坑：PHP 版本兼容性（PHP 8.2 与 8.3 的扩展 API 兼容性），以及 session 保存在本地文件导致多实例无法共享的问题（建议使用 Redis或数据库存 Session）。