Apache2: suphp vs suexec vs mpm-itk

LP!

Na strežniku sem postavil nekaj strani za kolege. Večina jih je v phpju in nekateri direktoriji in datoteke morajo biti v lasti www-data userja. To pa pomeni, da jih uporabniki ne morajo spreminjati oz. morajo imeti 777 pravice, kar pa mi ne diši.

Kolikor gledam, mi edino ostane možnost, da grem na enega od zgoraj omenjenih "sistemov". Kolikor sem na hitro pogledal, za suphp ni potrebno ponovno prevajati apache(se dobi paketek), prav tako pa je po benchmarkih sodeč hitrejši od suexec. Še boljša izbira je mpm-itk, vendar pri opisu paketa v debianu piše, da je zadeva "highly experimental" in da je ne priporočajo. Ima kdo izkušnje z tem paketom oz. načinom delovanja? Hitrost tega načina naj bi bila višja v primerjavi z suphp in suexec, prav tako pa naj bi s seboj prinesla še vse bonbončke, ki jih omogoča mod_php.

Predvsem me zanima, ali je mpm-itk dovolj stabilen za "produkcijski" strežnik, ali naj rajši izberem suPHP?

lp, Matej

imas safe_mode?
imas mode_security?
imas izklopljeno system() in druge ukaze v php.ini?

mod_security
http://www.modsecurity.org/

kaj cakas z safe_mod
lahko izvaja samo lastnik direktorija, drugace je full nevarno (se to je nevarno)
bo nekdo uploadal kodo na 777 direktorij, pa se izvedel jo bo kot apache user
pol pa ni vec dalec do root

http://si.php.net/features.safe-mode

Po moje je itk bolj varen.

Safe mode je bolj arbitraren- stvar se obveže, da ne bo pognala php programa, ki ne pripada userju, pod katerim laufa server.

Kar spet ne pomeni nič, če ti rata fajlu spremeniti dovoljenja ali lastnika. Poleg tega pa mpm-itk laufa vsak virtualni strežnik v celoti pod samostojnim userjem. Tudi če ga kdo sesuje, bo lahko kvečjemu dosegela samo to, kar je dosegljivo temu userju.

Če imaš torej strogo zategnjena dovoljenja dostopa in vsak strežnik pod svojim userjem, bo škoda manjša...

Brane2: tako nekako tudi jaz vidim stvar.

Na enem strežniku imam naložen suPHP, ki svoje delo sicer opravlja odlično, vendar je problem v performancu, ki je v primerjavi z mod_php porazen! Logično, saj mora za vsak page poznati php binary. Večino časa vzame inicializacija programa, sama stran pa je zgenerirana precej hitro.

Bom naložil tale mpm-itk pa bomo malo potestiral. Ni druge:)

lp, Matej

Gledal sem tudi mod_fastcgi, ampak sem se na koncu odločil poizkusiti mpm-itk. Stvar je bila urejena v 10min in zaenkrat dela vse A OK.

lp, Matej