本地想練手Web安全繞不開(kāi)一個(gè)東西——DVWA。我身邊不少剛?cè)腴T的朋友問(wèn)得最多的就是DVWA下載安裝到底怎么搞踩坑最多的也是這一步下下來(lái)丟進(jìn)網(wǎng)站根目錄打開(kāi)一片空白或者登錄頁(yè)轉(zhuǎn)圈、數(shù)據(jù)庫(kù)連不上。其實(shí)這套東西本身一點(diǎn)都不復(fù)雜它就是一個(gè)用PHP寫的、故意留了破綻的Web應(yīng)用跑在你自己的機(jī)器上讓你在一個(gè)合法的、可控的環(huán)境里去理解Web應(yīng)用的各種典型缺陷是怎么產(chǎn)生的、防御手段又是怎么起作用的。它最適合兩類人一類是剛接觸Web安全、想找個(gè)能動(dòng)手的環(huán)境把書(shū)本概念落地的初學(xué)者另一類是做開(kāi)發(fā)或者運(yùn)維想直觀感受一下自己寫的代碼在防御不當(dāng)時(shí)會(huì)呈現(xiàn)什么狀態(tài)。今天我就把自己反復(fù)裝過(guò)好幾遍的流程、參數(shù)配置和那些坑盡量一次講透。1. DVWA到底是什么值不值得本地搭一套1.1 從能動(dòng)手的環(huán)境說(shuō)起很多人第一次接觸DVWA是在各種教程里看到的截圖一個(gè)樸素的登錄框進(jìn)去之后左邊一列菜單列著十來(lái)個(gè)功能模塊。這些模塊覆蓋了Web應(yīng)用里最常見(jiàn)的幾類問(wèn)題比如輸入校驗(yàn)不嚴(yán)、身份驗(yàn)證邏輯薄弱、文件處理不當(dāng)、請(qǐng)求偽造等等。它的價(jià)值不在于功能多強(qiáng)而在于它是一個(gè)靶場(chǎng)——專門給你打的靶子附帶不同難度的防御檔位讓你能對(duì)比同一個(gè)功能在低防御和高防御下表現(xiàn)有什么不同。打個(gè)比方學(xué)開(kāi)車你不會(huì)直接上高速而是先在教練場(chǎng)里練。DVWA就是Web安全領(lǐng)域的教練場(chǎng)場(chǎng)地是封閉的出不了事但地形足夠豐富。你可以在里面反復(fù)試、反復(fù)錯(cuò)不用擔(dān)心影響任何人。必須強(qiáng)調(diào)一點(diǎn)DVWA只應(yīng)該跑在你自己的電腦或者完全隔離的內(nèi)網(wǎng)實(shí)驗(yàn)環(huán)境里。它的設(shè)計(jì)目的就是易受攻擊一旦掛到公網(wǎng)等于把一扇沒(méi)鎖的門擺在馬路上。這是我見(jiàn)過(guò)最多的低級(jí)失誤也是所有注意事項(xiàng)里排第一位的。1.2 搭建前必須想清楚的三件事第一件事是你打算用什么系統(tǒng)。Windows、Linux、macOS都能跑區(qū)別只在于PHP和數(shù)據(jù)庫(kù)怎么裝。如果你只是想快點(diǎn)看到界面Windows下一體化集成環(huán)境最省事如果你想順便練練Linux命令那就用虛擬機(jī)裝個(gè)Linux發(fā)行版手工配一遍L(zhǎng)AMP收獲更大。第二件事是PHP版本。DVWA的經(jīng)典穩(wěn)定版1.9、1.10這兩個(gè)版本號(hào)大家見(jiàn)得最多對(duì)PHP版本比較挑。1.9時(shí)代的東西在PHP 5.4到7.x上跑得比較順到了PHP 8環(huán)境部分老模塊會(huì)因?yàn)檎Z(yǔ)法或函數(shù)行為變化而報(bào)錯(cuò)。如果你用的是一體化集成環(huán)境里自帶的高版本PHP遇到報(bào)錯(cuò)先別懷疑自己裝錯(cuò)了很可能就是版本不匹配。第三件事是要不要用容器。Docker路線是現(xiàn)在最干凈的方案一條命令拉鏡像、起容器環(huán)境隔離刪掉不留垃圾。代價(jià)是你得先有Docker環(huán)境而且對(duì)里面到底發(fā)生了什么的理解會(huì)淺一些。我個(gè)人建議第一遍手工裝把配置搞明白之后要反復(fù)折騰就換Docker。提示無(wú)論選哪條路線都請(qǐng)確認(rèn)這臺(tái)機(jī)器不在公網(wǎng)可達(dá)的位置。實(shí)驗(yàn)完畢及時(shí)關(guān)閉服務(wù)或者干脆用一次性虛擬機(jī)。2. 環(huán)境準(zhǔn)備三條主流路線的取舍2.1 路線一一體化集成環(huán)境最省事Windows下最常見(jiàn)的做法是用一體化集成環(huán)境它把Apache、PHP、MySQL打包好裝完就能用圖形界面點(diǎn)點(diǎn)鼠標(biāo)就能啟停服務(wù)。這一步的核心操作只有兩個(gè)把服務(wù)全部啟動(dòng)然后把DVWA的源碼目錄整個(gè)放進(jìn)網(wǎng)站根目錄。以常見(jiàn)的集成環(huán)境為例網(wǎng)站根目錄一般在安裝目錄下的WWW或者h(yuǎn)tdocs文件夾。把解壓出來(lái)的DVWA文件夾整個(gè)復(fù)制進(jìn)去路徑類似這樣D:\phpstudy_pro\WWW\dvwa C:\xampp\htdocs\dvwa放好之后瀏覽器訪問(wèn)http://127.0.0.1/dvwa/如果能看到頁(yè)面哪怕是報(bào)錯(cuò)頁(yè)說(shuō)明Web服務(wù)器已經(jīng)正確識(shí)別到目錄了。這條路線的好處是五分鐘能跑起來(lái)壞處是你不太清楚PHP的配置文件在哪、改了什么生效了什么沒(méi)生效。我建議即使用這條路線也順手找到php.ini的位置后面調(diào)參數(shù)要用。2.2 路線二Linux手工搭LAMP練手價(jià)值最高如果你用虛擬機(jī)裝了個(gè)Linux發(fā)行版流程大致是裝Web服務(wù)器、裝PHP及相關(guān)擴(kuò)展、裝數(shù)據(jù)庫(kù)然后放代碼、配權(quán)限。以Debian系為例裝完基礎(chǔ)組件后Web根目錄通常是/var/www/html。這里有一個(gè)比Windows麻煩得多、但必須處理的問(wèn)題文件權(quán)限和目錄歸屬。Linux下Web服務(wù)進(jìn)程通常以www-data這個(gè)身份運(yùn)行如果你的代碼目錄歸root所有且權(quán)限是755那么DVWA在初始化數(shù)據(jù)庫(kù)、寫入上傳目錄時(shí)就會(huì)失敗。正確做法是sudo chown -R www-data:www-data /var/www/html/dvwa sudo find /var/www/html/dvwa -type d -exec chmod 755 {} \; sudo find /var/www/html/dvwa -type f -exec chmod 644 {} \;另外還有SELinux這個(gè)隱形殺手。如果你的發(fā)行版默認(rèn)開(kāi)啟了強(qiáng)制模式即使權(quán)限全對(duì)Web進(jìn)程依然寫不進(jìn)去。排查時(shí)可以先臨時(shí)把它設(shè)為寬松模式驗(yàn)證一下是不是它的問(wèn)題確認(rèn)后再針對(duì)性調(diào)整策略而不是一直關(guān)著。2.3 路線三Docker環(huán)境隔離最干凈容器路線的邏輯很簡(jiǎn)單鏡像里已經(jīng)把Apache、PHP、數(shù)據(jù)庫(kù)和DVWA源碼全部配好了你只需要把容器的端口映射到你本機(jī)的一個(gè)空閑端口。典型命令形態(tài)是docker run -d --name dvwa -p 8080:80 vulnerables/web-dvwa起起來(lái)之后訪問(wèn)http://127.0.0.1:8080。注意我這里故意把宿主端口寫成8080而不是80因?yàn)?0端口太容易被本機(jī)其他服務(wù)占用映射到高位端口能避開(kāi)一堆沖突。容器里數(shù)據(jù)庫(kù)已經(jīng)初始化過(guò)進(jìn)去直接登錄即可。容器路線的坑主要集中在兩點(diǎn)一是數(shù)據(jù)不持久化docker rm之后配置全丟想保留就掛載卷二是容器內(nèi)的時(shí)間、編碼設(shè)置可能和宿主機(jī)不同遇到中文亂碼之類的問(wèn)題需要進(jìn)容器調(diào)整。2.4 三條路線怎么選對(duì)比維度一體化集成環(huán)境Linux手工LAMPDocker容器首次上手耗時(shí)約10分鐘約40分鐘約5分鐘對(duì)原理的理解深度淺深中環(huán)境隔離性差容易污染本機(jī)好在虛擬機(jī)內(nèi)最好出問(wèn)題時(shí)排查難度中高低刪了重建適合人群想快速看效果想系統(tǒng)練Linux反復(fù)重建環(huán)境的人我的建議是按順序來(lái)先用集成環(huán)境跑通一遍消除我裝不上的焦慮然后換Linux手工裝一遍把權(quán)限、擴(kuò)展、配置文件這些核心環(huán)節(jié)吃透后面需要頻繁重裝的時(shí)候直接上Docker。這三遍走下來(lái)你對(duì)一個(gè)Web應(yīng)用從源碼到能訪問(wèn)的完整鏈路理解會(huì)比看十篇教程都深。3. 下載與部署實(shí)操全流程3.1 源碼從哪來(lái)才靠譜DVWA是開(kāi)源項(xiàng)目源碼托管在公開(kāi)的代碼倉(cāng)庫(kù)上官方發(fā)布過(guò)多個(gè)正式版本。獲取方式有兩個(gè)一是從倉(cāng)庫(kù)的發(fā)布頁(yè)面下載打包好的壓縮包二是直接用版本控制工具把整個(gè)倉(cāng)庫(kù)拉下來(lái)。前者更穩(wěn)后者能拿到最新開(kāi)發(fā)分支的代碼。這里有個(gè)經(jīng)驗(yàn)優(yōu)先選正式發(fā)布的版本包。開(kāi)發(fā)分支的代碼雖然在跟進(jìn)新環(huán)境適配但沒(méi)經(jīng)過(guò)完整驗(yàn)證可能出現(xiàn)你今天裝好了、明天更新一下就報(bào)錯(cuò)的情況。版本包下載下來(lái)通常是一個(gè)zip或tar.gz解壓后目錄名可能帶版本后綴比如DVWA-1.10之類建議手動(dòng)改名為dvwa路徑短、看著清爽也避免后面配置時(shí)路徑寫錯(cuò)。如果用的是版本控制工具拉取注意拉完之后倉(cāng)庫(kù)里會(huì)多一個(gè)版本控制目錄雖然不影響運(yùn)行但整潔起見(jiàn)可以刪掉。3.2 目錄放置與訪問(wèn)路徑確認(rèn)解壓出來(lái)的目錄結(jié)構(gòu)大致是這樣頂層有一些說(shuō)明文檔和許可證文件然后是config目錄存放配置模板dvwa目錄存放核心代碼還有vulnerabilities、hackable等目錄分別對(duì)應(yīng)各個(gè)功能模塊和上傳文件的存放位置。放置原則只有一條整個(gè)dvwa目錄必須完整放進(jìn)Web服務(wù)器能訪問(wèn)到的根目錄下面不能只放其中一部分。很多人出錯(cuò)就是因?yàn)橹话裠vwa子目錄拷出來(lái)了結(jié)果缺少配置文件模板打開(kāi)就報(bào)錯(cuò)。放好之后訪問(wèn)時(shí)注意路徑結(jié)尾的斜杠。http://127.0.0.1/dvwa和http://127.0.0.1/dvwa/在多數(shù)環(huán)境下行為一致但個(gè)別配置會(huì)把不帶斜杠的請(qǐng)求重定向多繞一次就可能出問(wèn)題。養(yǎng)成帶斜杠的習(xí)慣。3.3 配置文件詳解與數(shù)據(jù)庫(kù)綁定這是整個(gè)安裝過(guò)程里最關(guān)鍵、也最容易卡住的一步。DVWA目錄里有一個(gè)配置模板文件通常叫config.inc.php.dist.dist后綴表示分發(fā)模板需要你復(fù)制一份、去掉后綴變成config.inc.php才會(huì)被程序讀取。打開(kāi)這個(gè)文件你會(huì)看到幾組關(guān)鍵參數(shù)我按重要程度逐個(gè)說(shuō)$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] pssw0rd; $_DVWA[ db_port ] 3306;db_server建議寫成127.0.0.1而不是localhost。原因在于當(dāng)PHP把localhost解釋到本地套接字時(shí)可能會(huì)繞過(guò)TCP端口配置導(dǎo)致你明明改了端口號(hào)卻不生效。寫IP地址能強(qiáng)制走TCP行為更好預(yù)測(cè)。db_database是數(shù)據(jù)庫(kù)名默認(rèn)叫dvwa。注意這個(gè)庫(kù)需要你提前創(chuàng)建DVWA的安裝腳本會(huì)往里建表但它通常不會(huì)替你創(chuàng)建庫(kù)本身部分版本會(huì)自動(dòng)建取決于數(shù)據(jù)庫(kù)用戶權(quán)限。db_user和db_password是最容易出錯(cuò)的地方。默認(rèn)配置里寫的是root加一個(gè)示例密碼你的實(shí)際數(shù)據(jù)庫(kù)密碼肯定不是這個(gè)。這里有兩個(gè)選擇直接填root賬號(hào)的真實(shí)密碼。省事但不推薦權(quán)限太大。新建一個(gè)只對(duì)dvwa庫(kù)有權(quán)限的專用賬號(hào)。這是更規(guī)范的做法。專用賬號(hào)的創(chuàng)建語(yǔ)句大致是CREATE DATABASE dvwa DEFAULT CHARACTER SET utf8mb4; CREATE USER dvwa_userlocalhost IDENTIFIED BY StrongPass123!; GRANT ALL PRIVILEGES ON dvwa.* TO dvwa_userlocalhost; FLUSH PRIVILEGES;注意字符集。用utf8mb4而不是老的utf8能避免后面遇到中文內(nèi)容時(shí)的存儲(chǔ)問(wèn)題。還有一個(gè)坑新版數(shù)據(jù)庫(kù)的默認(rèn)認(rèn)證插件可能和老版本PHP的數(shù)據(jù)庫(kù)擴(kuò)展不兼容表現(xiàn)為密碼明明對(duì)就是連接被拒絕。遇到這種情況需要把該用戶的認(rèn)證方式調(diào)整為兼容模式。這是版本組合問(wèn)題不是你的配置寫錯(cuò)了。提示改完配置文件記得保存時(shí)不要帶上BOM頭某些編輯器會(huì)悄悄加導(dǎo)致頁(yè)面頂部出現(xiàn)空白行甚至報(bào)錯(cuò)。用UTF-8無(wú)BOM格式保存。3.4 初始化數(shù)據(jù)庫(kù)與首次登錄配置文件就位之后訪問(wèn)安裝入口頁(yè)面通常是站點(diǎn)根下的setup.php。這個(gè)頁(yè)面會(huì)做幾件事檢查環(huán)境PHP版本、擴(kuò)展、目錄權(quán)限然后提供一個(gè)按鈕讓你創(chuàng)建或重置數(shù)據(jù)庫(kù)。如果環(huán)境檢查一片綠直接點(diǎn)按鈕稍等幾秒會(huì)提示創(chuàng)建成功。如果出現(xiàn)紅色告警頁(yè)面會(huì)告訴你哪一項(xiàng)不滿足逐條解決就行。常見(jiàn)的告警項(xiàng)包括PHP版本不符合要求、缺少某個(gè)數(shù)據(jù)庫(kù)擴(kuò)展、配置文件不存在或不可寫。初始化成功后用默認(rèn)賬號(hào)登錄默認(rèn)用戶名和密碼在官方文檔里寫著登錄后第一件事就是改密碼——雖然是本地環(huán)境但養(yǎng)成習(xí)慣沒(méi)壞處。進(jìn)去之后還有一個(gè)必做操作設(shè)置安全等級(jí)。DVWA提供幾檔難度從幾乎不設(shè)防到嚴(yán)格防御。等級(jí)是存在數(shù)據(jù)庫(kù)里的所以重置數(shù)據(jù)庫(kù)會(huì)把它恢復(fù)成默認(rèn)值。我通常的做法是先把默認(rèn)等級(jí)調(diào)成最低檔確認(rèn)所有功能都能正常打開(kāi)、不報(bào)錯(cuò)然后再逐檔往上調(diào)觀察同一功能的表現(xiàn)差異。這個(gè)對(duì)比過(guò)程才是DVWA真正的價(jià)值所在。4. 高頻報(bào)錯(cuò)排查實(shí)錄4.1 數(shù)據(jù)庫(kù)相關(guān)連不上、建不了庫(kù)癥狀一頁(yè)面提示無(wú)法連接數(shù)據(jù)庫(kù)。排查順序是數(shù)據(jù)庫(kù)服務(wù)是否在跑 → 端口是否對(duì) → 賬號(hào)密碼是否正確 → 該賬號(hào)是否允許從當(dāng)前來(lái)源連接。很多人忽略了最后一條數(shù)據(jù)庫(kù)用戶是按用戶來(lái)源主機(jī)來(lái)區(qū)分的dvwa_userlocalhost和dvwa_user127.0.0.1在數(shù)據(jù)庫(kù)看來(lái)是兩個(gè)不同的賬號(hào)。如果你的連接走的是TCP也就是配置里寫了127.0.0.1那授權(quán)就必須給dvwa_user127.0.0.1或者用通配來(lái)源。癥狀二初始化時(shí)提示無(wú)法創(chuàng)建表。這通常是權(quán)限不足。檢查該用戶是否擁有對(duì)dvwa庫(kù)的完整權(quán)限而不只是查詢權(quán)限。癥狀三密碼正確但認(rèn)證失敗。前面提到的認(rèn)證插件兼容問(wèn)題。確認(rèn)數(shù)據(jù)庫(kù)版本必要時(shí)調(diào)整用戶的認(rèn)證方式。4.2 頁(yè)面相關(guān)空白、404、403白屏是最常見(jiàn)的。白屏意味著PHP腳本執(zhí)行出錯(cuò)了但錯(cuò)誤信息沒(méi)顯示出來(lái)。解決思路是先把錯(cuò)誤顯示打開(kāi)。找到php.ini把這兩個(gè)參數(shù)調(diào)整好display_errors On error_reporting E_ALL改完重啟Web服務(wù)再訪問(wèn)具體的錯(cuò)誤行號(hào)和原因就會(huì)打在頁(yè)面上比對(duì)著白屏猜快一百倍。404是路徑問(wèn)題。說(shuō)明Web服務(wù)器沒(méi)找到對(duì)應(yīng)文件。檢查三件事目錄是不是真的放進(jìn)了根目錄、訪問(wèn)路徑大小寫是否一致Linux下大小寫敏感DVWA和dvwa是兩個(gè)不同的目錄、服務(wù)器是否配置了正確的根目錄指向。403是權(quán)限問(wèn)題。Web服務(wù)器找到了文件但拒絕提供。Linux下檢查目錄的執(zhí)行權(quán)限和文件的讀權(quán)限以及SELinux狀態(tài)。Windows下檢查文件夾的安全屬性是否給了Web服務(wù)進(jìn)程讀取權(quán)限。4.3 功能模塊相關(guān)部分頁(yè)面報(bào)錯(cuò)有時(shí)候主頁(yè)面能進(jìn)但點(diǎn)某個(gè)具體功能模塊就報(bào)錯(cuò)。這類問(wèn)題十有八九和PHP擴(kuò)展有關(guān)。比如涉及URL加載的模塊需要開(kāi)啟allow_url_fopen涉及遠(yuǎn)程包含的模塊需要開(kāi)啟allow_url_include。這兩個(gè)開(kāi)關(guān)默認(rèn)是關(guān)閉的需要在php.ini中顯式打開(kāi)。allow_url_fopen On allow_url_include On改完重啟服務(wù)。這是為了在隔離環(huán)境里完整呈現(xiàn)功能行為只在本地實(shí)驗(yàn)環(huán)境這么做生產(chǎn)服務(wù)器上這兩個(gè)開(kāi)關(guān)的處置方式完全不同。另外上傳類模塊要求上傳目錄可寫。檢查hackable/uploads這個(gè)目錄的權(quán)限Linux下確保Web進(jìn)程用戶對(duì)它有寫權(quán)限。4.4 常見(jiàn)問(wèn)題速查表現(xiàn)象最可能的原因處理方向整頁(yè)空白PHP錯(cuò)誤未顯示打開(kāi)display_errors看具體報(bào)錯(cuò)提示連不上數(shù)據(jù)庫(kù)賬號(hào)/來(lái)源主機(jī)不匹配核對(duì)用戶授權(quán)中的來(lái)源標(biāo)識(shí)數(shù)據(jù)庫(kù)初始化失敗用戶權(quán)限不足或庫(kù)不存在手動(dòng)建庫(kù)并授權(quán)訪問(wèn)404目錄未放對(duì)或大小寫不符核對(duì)實(shí)際路徑與訪問(wèn)路徑訪問(wèn)403文件權(quán)限或安全策略攔截調(diào)整目錄權(quán)限檢查安全模塊某模塊單獨(dú)報(bào)錯(cuò)相關(guān)PHP擴(kuò)展未開(kāi)啟在php.ini中開(kāi)啟對(duì)應(yīng)開(kāi)關(guān)中文顯示亂碼字符集不一致庫(kù)、表、頁(yè)面統(tǒng)一用utf8mb4改了配置不生效服務(wù)未重啟或配置未生效重啟Web服務(wù)后清緩存重試5. 漢化、版本選擇與長(zhǎng)期維護(hù)5.1 界面漢化的正確姿勢(shì)英文界面看久了確實(shí)累社區(qū)里有漢化包。使用方式一般是把漢化文件覆蓋到對(duì)應(yīng)的語(yǔ)言目錄下然后在配置里把默認(rèn)語(yǔ)言改成中文。這里有兩個(gè)注意點(diǎn)一是漢化文件的版本要和DVWA版本對(duì)應(yīng)跨版本覆蓋很容易出現(xiàn)菜單錯(cuò)位、部分文字缺失甚至頁(yè)面報(bào)錯(cuò)二是覆蓋之前先備份原文件出問(wèn)題能退回去。如果漢化后發(fā)現(xiàn)某個(gè)頁(yè)面異常最快的定位方法就是把語(yǔ)言改回英文看是否恢復(fù)正常。如果英文下正常、中文下異常那問(wèn)題就鎖定在語(yǔ)言文件上檢查是不是編碼不是UTF-8無(wú)BOM。5.2 版本選擇的一點(diǎn)經(jīng)驗(yàn)DVWA的版本迭代不算快但不同版本對(duì)運(yùn)行環(huán)境的要求差別不小。選版本的原則很簡(jiǎn)單跟著你的PHP版本走。老版本PHP就配老版本DVWA新版本PHP就找明確聲明支持新版本的發(fā)行版。強(qiáng)行混搭的典型后果就是打開(kāi)一片紅字報(bào)錯(cuò)然后你花兩小時(shí)排查配置最后發(fā)現(xiàn)是版本不兼容白忙一場(chǎng)。我個(gè)人習(xí)慣是環(huán)境定下來(lái)之后先用一個(gè)已知能跑的版本組合把流程走通把配置參數(shù)記在筆記里。以后再裝直接照著筆記復(fù)現(xiàn)效率高得多。5.3 環(huán)境備份與快速?gòu)?fù)現(xiàn)DVWA本身沒(méi)什么好備份的代碼隨時(shí)能重新下數(shù)據(jù)庫(kù)隨時(shí)能重建。真正值得備份的是你的環(huán)境配置記錄。我自己的筆記里固定記這幾項(xiàng)PHP版本、數(shù)據(jù)庫(kù)版本、php.ini里改動(dòng)過(guò)的參數(shù)、數(shù)據(jù)庫(kù)賬號(hào)和授權(quán)語(yǔ)句、DVWA的版本號(hào)。有這五項(xiàng)換臺(tái)機(jī)器半小時(shí)內(nèi)就能完全復(fù)現(xiàn)。如果用虛擬機(jī)更省事的做法是在環(huán)境配置完成后打一個(gè)快照。之后無(wú)論把環(huán)境折騰成什么樣回滾快照就是幾秒鐘的事。這個(gè)習(xí)慣在做各種實(shí)驗(yàn)時(shí)特別有用——畢竟靶場(chǎng)的意義就是讓你隨便折騰折騰壞了能一鍵還原心理負(fù)擔(dān)會(huì)小很多。注意定期檢查實(shí)驗(yàn)環(huán)境是否還在監(jiān)聽(tīng)對(duì)外端口。用一次性虛擬機(jī)做實(shí)驗(yàn)時(shí)實(shí)驗(yàn)結(jié)束直接關(guān)機(jī)用本機(jī)環(huán)境時(shí)用完停掉服務(wù)。6. 我在反復(fù)安裝中踩過(guò)的那些坑第一個(gè)坑是目錄權(quán)限只在Linux上才想起來(lái)檢查。Windows下安裝包自動(dòng)給了權(quán)限一路順暢換到Linux就各種寫不進(jìn)去。后來(lái)我養(yǎng)成了習(xí)慣代碼放好之后第一步就是統(tǒng)一調(diào)整歸屬和權(quán)限而不是等報(bào)錯(cuò)再回頭找。第二個(gè)坑是配置文件的后綴。.dist這個(gè)后綴的存在感太低了我第一次裝的時(shí)候盯著目錄看了半天心想配置文件明明在啊結(jié)果就是沒(méi)去掉后綴。這件事現(xiàn)在聽(tīng)著好笑但新手十有八九會(huì)遇上。第三個(gè)坑是localhost和127.0.0.1的區(qū)別。這東西平時(shí)看不出來(lái)一旦你把數(shù)據(jù)庫(kù)端口從默認(rèn)值改了問(wèn)題就冒出來(lái)了。統(tǒng)一寫IP地址能省掉這類玄學(xué)問(wèn)題。第四個(gè)坑是忘了重啟服務(wù)。改了php.ini不重啟改一百遍也沒(méi)用。現(xiàn)在我的動(dòng)作固定成一套改配置 → 重啟服務(wù) → 刷新頁(yè)面 → 驗(yàn)證效果中間不跳步。第五個(gè)坑是把環(huán)境留在了不該留的地方。有次做完實(shí)驗(yàn)忘了關(guān)服務(wù)那臺(tái)機(jī)器又恰好在局域網(wǎng)里能被別人訪問(wèn)到。雖然沒(méi)造成什么后果但從那以后我給自己定了條規(guī)矩實(shí)驗(yàn)環(huán)境的服務(wù)用完就停長(zhǎng)期用的一定放在隔離的虛擬機(jī)里。最后分享一個(gè)提高效率的小技巧把整個(gè)安裝流程寫成一份自己的檢查清單從下載、解壓、放置、復(fù)制配置、建庫(kù)授權(quán)、初始化、登錄、設(shè)等級(jí)一共八步每步后面標(biāo)注驗(yàn)證方法。下次重裝的時(shí)候照著清單走不回頭、不遺漏一次成功率能提到九成以上。這套環(huán)境搭起來(lái)之后你能做的事情遠(yuǎn)不止打開(kāi)看看。真正有價(jià)值的是把它當(dāng)成一個(gè)可以反復(fù)對(duì)照的實(shí)驗(yàn)臺(tái)同一個(gè)功能在不同防御檔位下表現(xiàn)有何差異為什么會(huì)有這種差異加上什么樣的防護(hù)能改變結(jié)果。這些問(wèn)題的答案在你自己動(dòng)手驗(yàn)證過(guò)一遍之后會(huì)比任何文檔都記得牢。而這一切的起點(diǎn)就是今天這篇東西里講的下載安裝這幾步——把它走順了后面才有得玩。