银河麒麟 V10 / 统信 UOS 深度适配（内核参数到 seccomp）

第 2 章 银河麒麟 V10 / 统信 UOS 深度适配（内核参数到 seccomp）

2.1 国产 OS 和 CentOS 的核心差异（踩坑地图）

差异点	CentOS 7/8	麒麟 V10	统信 UOS	PHP 项目影响
SELinux 默认策略	permissive	enforcing	enforcing	Nginx 反向代理到 PHP-FPM 被拦
内核安全模块	无	kylinsec	deepin-security	共享内存/信号量创建失败
systemd 版本	219-239	239+	241+	PrivateTmp=true在老配置上无效
防火墙前端	firewalld	firewalld	ufw	端口放行命令不同
最大打开文件数	1024	1024（更严）	1024	Swoole 高并发报too many open files
/tmp清理策略	10 天	3 天	1 天	session 文件被意外删掉

2.2 首次启动三步走（否则 PHP-FPM 根本起不来）

步骤 1：关掉或放宽 SELinux（测试环境可直接关，生产要写策略）

# 查看当前状态getenforce# 若显示 Enforcing，则会拦截 Nginx → PHP-FPM 的 socket 通信# 临时关闭（重启后失效，用于排查是不是 SELinux 的锅）sudosetenforce0# 永久关闭（测试环境）sudosed-i's/^SELINUX=enforcing/SELINUX=disabled/'/etc/selinux/config# 改完要重启：sudo reboot# 生产环境：保持 enforcing，但给 Nginx 和 PHP-FPM 开白名单sudosetsebool-Phttpd_can_network_connect1sudosemanage fcontext-a-thttpd_sys_rw_content_t"/var/www(/.*)?"sudorestorecon-Rv/var/www

大白话：SELinux 是个"白名单防火墙"，默认"Nginx 不许访问 PHP-FPM 的 socket"。你要么关掉它（测试环境偷懒），要么告诉它"这俩是一家的，放行"。

步骤 2：提升文件描述符上限（Swoole/Workerman 必做）

# 查看当前限制ulimit-n# 输出 1024 说明太低，万人在线的长连接服务会被打爆# 临时提升（当前 shell 生效）ulimit-n65535# 永久提升（写入 /etc/security/limits.conf，对所有用户生效）sudotee-a/etc/security/limits.conf>/dev/null<<'EOF' * soft nofile 65535 * hard nofile 65535 EOF# systemd 服务还要在 service 文件里单独写sudosed-i'/\[Service\]/a LimitNOFILE=65535'/etc/systemd/system/php-fpm.servicesudosystemctl daemon-reloadsudosystemctl restart php-fpm

验证是否生效：

# 查看 PHP-FPM 主进程的实际限制sudocat/proc/$(pgrep-ophp-fpm)/limits|grep'open files'# 期望：Max open files 65535 65535 files

步骤 3：调整内核共享内存参数（opcache/apcu/shmop 必需）

# 查看当前值sysctlkernel.shmmax# 共享内存单块最大字节数sysctlkernel.shmall# 共享内存总页数# 临时调整sudosysctl-wkernel.shmmax=2147483648# 2GBsudosysctl-wkernel.shmall=524288# 2GB / 4KB(页大小) = 524288# 永久生效sudotee-a/etc/sysctl.conf>/dev/null<<'EOF' kernel.shmmax = 2147483648 kernel.shmall = 524288 net.core.somaxconn = 8192 net.ipv4.tcp_max_syn_backlog = 8192 net.ipv4.ip_local_port_range = 1024 65535 EOFsudosysctl-p

为什么要改：OPcache 默认占 128MB 共享内存，apcu 再来 64MB，如果你还跑了个 Swoole Table（又是共享内存），内核默认的配额不够，就报Failed to create SysV shared memory segment。

2.3 麒麟 kylinsec 安全模块的专属坑

麒麟 V10 有个自研的kylinsec内核模块，会在进程间通信（IPC）时做额外审计。两种表现：

1. PHP-FPM 子进程向 master 发信号（reload 配置时）被拦截，日志里报Operation not permitted；
2. sem_get()/shm_attach()这些 SysV IPC 函数返回 false，error_get_last()里写Permission denied。

解决方案 1：把 PHP-FPM 进程加入受信任组（推荐）

# 查看当前哪些组受信任sudokylinsec-config --list-trusted-groups# 通常有 root、kylinsec-admin# 把 www 用户加入可信组（需要 kylinsec-admin 权限）sudousermod-aGkylinsec-admin www# 重启 PHP-FPMsudosystemctl restart php-fpm

解决方案 2：针对 IPC 操作放宽策略（临时排查用）

# 查看 kylinsec 拦截日志sudojournalctl-ukylinsec|grepphp-fpm# 如果确认是误报，可以添加白名单规则（具体语法见麒麟官方文档）sudokylinsec-config --add-rule"allow ipc from uid=www"

2.4 统信 UOS 的包管理差异（apt 不是 yum）

统信 UOS 基于 Debian，装依赖的命令和麒麟完全不同：

# 更新软件源（初次使用必做，否则找不到包）sudoaptupdate# 装编译依赖（对应前面第 1 章的 yum install 命令）sudoaptinstall-ybuild-essential autoconf pkg-config\libxml2-dev libssl-dev libsqlite3-dev\libcurl4-openssl-dev libpng-dev libjpeg-dev\libfreetype6-dev libonig-dev libzip-dev\libsystemd-dev libreadline-dev libicu-dev# 查已装软件包版本（调试时用）dpkg-l|greplibsslapt-cachepolicy libssl-dev

统信 UOS 上 OpenSSL 版本陷阱：自带的是 OpenSSL 1.1.1（不是 3.x），编译 PHP 8.2+ 时如果遇到undefined reference to OPENSSL_init_ssl，就是版本不匹配。解决办法：从源码装 OpenSSL 3.0.x，然后./configure --with-openssl=/usr/local/ssl3。

2.5 seccomp 沙箱策略（政务系统测评会查）

大白话：seccomp 是 Linux 内核的系统调用过滤器，等保测评时要求"进程只能调用业务必需的系统调用，其他一律禁止"。PHP-FPM 在 seccomp 严格模式下会因为「调了不该调的系统调用」而崩溃。

现象：PHP-FPM 起来一会儿就自动退出，dmesg 里报：

[12345.678] audit: type=1326 audit(...): auid=... uid=www ... syscall=56 (clone) comm="php-fpm" exe="/usr/local/php8/sbin/php-fpm" sig=31 arch=c00000b7 ... res=0

这说明clone系统调用（用来创建子进程的）被 seccomp 拦了。

解决步骤（需要等保测评专家配合）

1. 第一步：采集 PHP-FPM 实际需要的系统调用清单

# 在测试环境先关掉 seccomp，用 strace 跟踪 PHP-FPM 启动和运行时的系统调用sudostrace-ff-o/tmp/php-fpm-trace\-etrace=open,openat,read,write,close,stat,fstat,lseek,mmap,mprotect,munmap,brk,clone,execve,wait4,socket,connect,bind,listen,accept,sendto,recvfrom,setsockopt,getsockopt,fcntl,ioctl,select,poll,epoll_create,epoll_ctl,epoll_wait,futex,set_robust_list,rt_sigaction,rt_sigprocmask,prctl,arch_prctl\/usr/local/php8/sbin/php-fpm--nodaemonize--fpm-config /usr/local/php8/etc/php-fpm.conf&# 让它跑 5 分钟，期间访问几个真实页面，然后停掉sleep300sudopkill-INTphp-fpm# 汇总所有用到的系统调用grep-h'('/tmp/php-fpm-trace.*|cut-d'('-f1|sort-u>/tmp/php-syscalls.txt

2. 第二步：把清单交给安全团队，写成 seccomp 白名单策略

下面是一个示例模板（JSON 格式，给 systemd 的SystemCallFilter=用）：

{"defaultAction":"SCMP_ACT_ERRNO","syscalls":[{"names":["read","write","open","openat","close","stat","fstat","lstat","lseek"],"action":"SCMP_ACT_ALLOW"},{"names":["mmap","munmap","mprotect","brk"],"action":"SCMP_ACT_ALLOW"},{"names":["clone","fork","vfork","execve","wait4","exit","exit_group"],"action":"SCMP_ACT_ALLOW"},{"names":["socket","connect","bind","listen","accept","accept4","sendto","recvfrom","setsockopt","getsockopt"],"action":"SCMP_ACT_ALLOW"},{"names":["fcntl","ioctl","select","poll","epoll_create","epoll_create1","epoll_ctl","epoll_wait"],"action":"SCMP_ACT_ALLOW"},{"names":["futex","set_robust_list","get_robust_list"],"action":"SCMP_ACT_ALLOW"},{"names":["rt_sigaction","rt_sigprocmask","rt_sigreturn","sigaltstack"],"action":"SCMP_ACT_ALLOW"},{"names":["prctl","arch_prctl","set_tid_address","set_thread_area"],"action":"SCMP_ACT_ALLOW"},{"names":["getpid","getppid","getuid","geteuid","getgid","getegid"],"action":"SCMP_ACT_ALLOW"},{"names":["getcwd","chdir","fchdir"],"action":"SCMP_ACT_ALLOW"},{"names":["sendfile","splice","tee"],"action":"SCMP_ACT_ALLOW"}]}

3. 第三步：在 systemd service 文件里启用（麒麟/统信上 systemd 都支持）

sudotee/etc/systemd/system/php-fpm.service>/dev/null<<'EOF' [Unit] Description=PHP 8.3 FastCGI Process Manager After=network.target [Service] Type=notify ExecStart=/usr/local/php8/sbin/php-fpm --nodaemonize --fpm-config /usr/local/php8/etc/php-fpm.conf ExecReload=/bin/kill -USR2 $MAINPID User=www Group=www Restart=on-failure # seccomp 白名单（等保测评要求） SystemCallFilter=@system-service @network-io @ipc @basic-io SystemCallFilter=~@privileged @resources @obsolete # 其他加固选项 PrivateTmp=true NoNewPrivileges=true ProtectSystem=strict ProtectHome=true ReadWritePaths=/var/www /tmp /var/log/php-fpm [Install] WantedBy=multi-user.target EOFsudosystemctl daemon-reloadsudosystemctl restart php-fpm

大白话：SystemCallFilter=@system-service是 systemd 预定义的一组"Web 服务常用系统调用"，~@privileged表示"禁止特权操作（如 reboot、mount）"。这样既满足等保要求（最小权限原则），又不会把 PHP-FPM 卡死。

2.6 防火墙放行（麒麟用 firewalld，统信用 ufw）

麒麟 V10（firewalld）

# 查看当前开放端口sudofirewall-cmd --list-all# 放行 80 和 443（Nginx）sudofirewall-cmd--permanent--add-service=httpsudofirewall-cmd--permanent--add-service=httpssudofirewall-cmd--reload# 如果 PHP-FPM 走网络 socket（不推荐，但某些架构这么用）sudofirewall-cmd--permanent--add-port=9000/tcpsudofirewall-cmd--reload

统信 UOS（ufw）

# 启用防火墙（初次使用可能是关闭状态）sudoufwenable# 放行端口sudoufw allow80/tcpsudoufw allow443/tcpsudoufw allow9000/tcp# 若 PHP-FPM 走 TCP socket# 查看规则sudoufw status numbered

2.7 一键检查脚本（部署前必跑）

把下面这个脚本存为/usr/local/bin/check-php-env.sh，部署前跑一遍，能提前发现 90% 的配置问题。

sudotee/usr/local/bin/check-php-env.sh>/dev/null<<'EOF' #!/bin/bash # 用途：检查麒麟/统信环境下 PHP-FPM 的运行前置条件 RED='\033[0;31m'; GREEN='\033[0;32m'; NC='\033[0m' FAIL=0 check() { if eval "$2"; then echo -e "${GREEN}✓${NC} $1" else echo -e "${RED}✗${NC} $1" FAIL=1 fi } echo "=== 系统环境检查 ===" check "SELinux 已关闭或设为 permissive" \ "[ $(getenforce 2>/dev/null) != 'Enforcing' ]" check "文件描述符上限 >= 65535" \ "[ $(ulimit -n) -ge 65535 ]" check "共享内存配额 >= 2GB" \ "[ $(sysctl -n kernel.shmmax 2>/dev/null || echo 0) -ge 2147483648 ]" check "net.core.somaxconn >= 4096" \ "[ $(sysctl -n net.core.somaxconn 2>/dev/null || echo 0) -ge 4096 ]" echo -e "\n=== PHP-FPM 服务检查 ===" check "php-fpm.service 已启用" \ "systemctl is-enabled php-fpm.service &>/dev/null" check "php-fpm 进程存在" \ "pgrep php-fpm >/dev/null" check "php-fpm 监听端口/socket 正常" \ "ss -lntp | grep -q php-fpm || ss -lnx | grep -q php-fpm" echo -e "\n=== PHP 配置检查 ===" PHP=/usr/local/php8/bin/php check "OPcache 已启用" \ "$PHP -r 'exit(ini_get(\"opcache.enable\")?0:1);' 2>/dev/null" check "内存上限 >= 256M" \ "$PHP -r 'exit(ini_get(\"memory_limit\")>=256?0:1);' 2>/dev/null" check "扩展 redis 已加载" \ "$PHP -m 2>/dev/null | grep -q redis" check "扩展 swoole 已加载" \ "$PHP -m 2>/dev/null | grep -q swoole" [ $FAIL -eq 0 ] && echo -e "\n${GREEN}所有检查通过！${NC}" || echo -e "\n${RED}部分检查失败，请修复后重试${NC}" exit $FAIL EOFsudochmod+x /usr/local/bin/check-php-env.sh check-php-env.sh

---