快捷導(dǎo)航

Nginx(PHP/fastcgi)的PATH_INFO問題

更新時間：2011年08月19日 11:59:57 作者：

PATH_INFO是一個CGI 1.1的標(biāo)準(zhǔn)，經(jīng)常用來做為傳參載體. 比如, 我們可以使用PATH_INFO來代替Rewrite來實(shí)現(xiàn)偽靜態(tài)頁面, 另外不少PHP框架也使用PATH_INFO來作為路由載體.

在Apache中, 當(dāng)不加配置的時候, 對于PHP腳本, AcceptPathInfo是默認(rèn)接受的, 也就是說:

如果在服務(wù)器在存在一個/laruence/index.php

那么, 對于如下請求,

復(fù)制代碼代碼如下:

 
/laruence/index.php/dummy 
/laruence/dumm 

Apache都接受, 都會認(rèn)為是對info.php的訪問, 并會設(shè)置PATH_INFO為dummy

而對于Nginx下, 是不支持PATH INFO的, 也就是它不會默認(rèn)設(shè)置PATH_INFO.

而因?yàn)槟J(rèn)的配置文件對PHP的支持只是很基礎(chǔ)的, 所以對于默認(rèn)配置來說對于上面的訪問也會是404, 提示找不到文件出錯.

這對于一些使用PATH_INFO來傳遞關(guān)鍵信息的PHP框架來說(比如Kohana, Thinkphp), 簡直是致命的.

對于這個問題, 一般來說有倆種解決方法, 第一種就是使用rewrite, 但是這個方法的缺點(diǎn)也是很明顯的, 需要把PATH_INFO轉(zhuǎn)換成Query String. 此處就不說明這種方法了~

而, 第二種方法就是我今天要提的, 模擬PATH_INFO:

首先 , 我們知道在Nginx中, 是通過對文件名的擴(kuò)展名匹配, 來決定是否要交給php cgi服務(wù)器去解釋的. 在nginx.conf中一般都有如下的默認(rèn)配置段:

復(fù)制代碼代碼如下:

 
location ~ .php$ { 
fastcgi_index index.php; 
fastcgi_pass 127.0.0.1:9000; 
include fastcgi_params; 

所以,對于形如/laruence/info.php/pathinfo這樣的文件路徑, Nginx是不會正確的交給php cgi服務(wù)器的. 所以我們需要改寫這段配置為:

復(fù)制代碼代碼如下:

 
location ~ .php {//片段匹配 
fastcgi_index index.php; 
fastcgi_pass 127.0.0.1:9000; 
include fastcgi_params; 

現(xiàn)在, 腳本路徑已經(jīng)交由PHP自己處理了. 那怎么增加PATH_INFO呢?

首先, 我們需要打開PHP中cgi.fix_pathinfo配置項(xiàng), 打開這個配置項(xiàng)以后, PHP會去根據(jù)CGI規(guī)范來檢查SCRIPT_FILENAME中那部分是訪問腳本和PATH_INFO(ini配置解釋), 并根據(jù)SCRIPT_NAME來修改PATH_INFO(和PATH_TRANSLATED)為正確的值(其實(shí)也就是說明, PHP最初對CGI 1.1的支持并不到位)

然后, 就只要添加一個FASTCGI_PARAM項(xiàng)就好了:

復(fù)制代碼代碼如下:

 
location ~ .php { 
fastcgi_index index.php; 
fastcgi_pass 127.0.0.1:9000; 
include fastcgi_params; 
fastcgi_param PATH_INFO $fastcgi_script_name; 

現(xiàn)在試試吧…

btw: 當(dāng)然, 上面的解決方法, 把對路徑的分析交給了PHP去處理, 網(wǎng)上也有朋友給出了另外一種配置方法, 這個方法是由Nginx來分析路徑(也就不需要fix_pathinfo):

復(fù)制代碼代碼如下:

 
location ~ \.php 
{ 
fastcgi_index index.php; 
fastcgi_pass 127.0.0.1:9000; 
include fastcgi_params; 
set $path_info ""; 
set $real_script_name $fastcgi_script_name; 
if ($fastcgi_script_name ~ "^(.+?\.php)(/.+)$") { 
set $real_script_name $1; 
set $path_info $2; 
} 
fastcgi_param SCRIPT_FILENAME /var/html/$real_script_name; 
fastcgi_param SCRIPT_NAME $real_script_name; 
fastcgi_param PATH_INFO $path_info; 

后記, 最近發(fā)現(xiàn)的一個安全漏洞(Nginx + PHP CGI的一個可能的安全漏洞)和這個配置有關(guān)系, 請大家務(wù)必在使用第二種配置的時候,關(guān)閉cgi.fix_pathinfo. 另外關(guān)于這個漏洞我個人認(rèn)為這個和Nginx沒啥關(guān)系, 不屬于Nginx的漏洞. 是配置的問題, 現(xiàn)在到處都在說是Nginx的Bug, 不妥不妥.

您可能感興趣的文章: