环境：

 

一、源码官方下，补丁及时打

正如我们在apache部署篇讲到的我们需要对下载的源码包进行验证一样，我们在挑选apache源码安装包的时候，一定要去官网，不要去乱七八糟的站点进行下载，防止源码包被别有用心的人动过手脚，导致后面对公司业务造成不必要损失。

另外为了apache的安全性和性能考虑，我们一定要多多关注apache的官网的补丁发布情况，一旦有新的补丁，我们一定要及早打上。特别是一些安全补丁，防止受到损失。

 

二、屏蔽apache版本等敏感信息

1）我们在apache主配置文件httpd.conf中，找到包含httpd-default.conf的行，并解开注释

注意：编译安装的情况下，只有此行解开注释了，后面的修改才能生效。

2）打开httpd-default.conf文件，修改如下两个地方

修改为
 

经过上面的修改，当你在curl-Iwww.sunsky.pw的时候，还是会出现下面的信息

 

彻底让版本等敏感信息消失

如果你需要彻底将版本之类的信息进行改头换面，你就需要在编译之前做准备或者进行从新编译了。在重新编译时，修改源码包下include目录下的ap_release.h文件

上述列出的行，我已经给出了注释，大家可以修改成自己想要的，然后编译安装之后，再对httpd-default.conf文件进行修改，对方就彻底不知道你的版本号了。

三、更改apache的默认用户

我们通过更改apache的默认用户，可以提升apache的安全性。这样，即使apache服务被攻破，黑客拿到apache普通用户也不会对系统和其他应用造成破坏。这里创建的apache用户，将用于对子进程和线程的控制。

编辑apache配置文件，修改默认的用户。
 

四、apache目录及文件权限设置

在生产环境的网站架构中，我们应把资源文件，例如用户上传的图片及附件等和程序做好分离，最好是把上传程序也分离开来。这样才能更方便我们做好授权，保证apache服务和整个服务器安全。

这里我们设置apache的网站目录属主和属组是root，权限是755，文件的权限为644。

并且，在对日志的授权商，我们要将属主和属组都设置为root，权限设置为700。
 

由于apache日志的记录是由apache的主进程进行操作的，而apache的主进程又是root用户启动的，所以这里设置700是不影响日志记录了。这也是日志记录的最安全的方法。

五、配置cronolog进行日志轮询

由于apache自带的日志轮询工具rotatelogs，据专家说在进行日志切割时容易丢日志，因此我们通常使用cronolog进行日志轮询。

1、下载并安装cronolog

2、配置apache使用cronolog

由于实验用的apache开启了虚拟主机功能，所以以下范例配置都在虚拟主机中进行。

将配置文件中的CustomLog和ErrorLog替换为下面的（由于我们要对多站点，所以这里要替换两个虚拟主机的，并且将日志存放名字做有效的区分才好）
 

更多日志格式参考：
 

六、错误页面优雅显示

为了提升网站的用户体验，避免404，403之类的丑陋的默认错误提示出现，我们需要对错误页面进行优化，让他们变的漂亮一点。错误页面不仅在于告诉用户访问出现了问题，而且需要引导用户到正确的页面。

错误页面优雅化显示的实现方式主要有两种,下面我们主要以404错误为例：

第一种：在apache的主配置文件httpd.conf中的<Directory></Directory>标签内添加ErrorDocument配置。

第二种方法：在apache的虚拟主机配置文件httpd-vhost.conf中的<VirtualHost*:80></VirtualHost>中添加ErrorDocument配置。

 

从上面的两种解决方案，我们可以看出ErrorDocument的命令格式如下
 

另外这里需要注意，你若设置跳转到文件，必须要有这个文件才行。另外文件必须在站点目录内，不然会报错。

在跳转到文件的测试中，我用全路径和别名路径进行测试，当把404错误页面跳转文件放到其他目录的时候，不报错，但是页面跳转不过去。若跳转为未链接，则不影响。

 

七、启用压缩模块mod_deflate

网站随着用户访问量的增加和内容量的增加，网站的带宽会不断的增加，随之就是网站成本的增加。并且当内容量增大的时候，客户端如果带宽小，就会影响用户的体验。因此从这两方面考虑，网站的某些内容必须经过压缩之后再传给用户，然后在用户客户端进行解压，来实现双方共赢的效果。

apache的压缩要用到mod_deflate模块，该模块提供了DEFLATE输出过滤器，允许服务器在将输出内容发送到客户端以前进行压缩，以节约带宽。它的核心思想就是把文件先在服务器进行压缩，然后再进行传输，这样可以显著减少文件传输的大小。当传输完毕后，客户端游览器会重新对压缩过的内容进行解压缩。如果没特殊情况的话，所以的文本内容都应该能被gzip压缩，例如：html（php），js，css，xml，txt等。特殊情况就是像一些首页上有很多广告投放的js代码，由于需要每次加载进而进行来访信息统计，所以这些广告代码拥有者网站的js不会经过gzip压缩，

mod_deflate模块，在我们前篇部署的时候已经编译安装进去了。

那么如果没有安装，如何安装呢？并且如果不知道到是否安装了，如何查看呢？

1、mod_deflate模块检查及安装

由于apache2.2.x和2.4.x这两个版本在检查mod_deflate模块是否安装方法方法是不同的。最后，我无奈做了很多测试，下面建议大家这样来检查。

安装了的话，就可以直接进行压缩配置了，如果没有安装，下面为安装方法

a）编译时安装方法

编译的时候跟上--enable-deflate即可实现安装

b）DSO方式安装

扩展：使用DSO方式安装，apxs后跟的参数详解
 

2、配置压缩参数

注意如果我们是编译安装时已经编译进去的，此时我们需要先将httpd.conf主配置文件中

此行解锁后再进行下面操作，不然下面的操作会报错。

我们需要在虚拟机的<VirtualHost*:80></VirtualHost>中添加如下配置即可实现压缩

下面是朋友公司的另外一种压缩配置，有兴趣的朋友们也可以操作操作。

 

执行上面的添加后，我们对apache进行优雅重启
 

下面访问我们的网站，然后用火狐或者google游览器的YSLOW插件进行压缩效果的查看

怎么样，是不是已经进行压缩了啊！

我们在企业生产环境中时，在启用mod_deflate时，一定要注意，对于太小的文件和某些格式的图片不要对它们进行压缩，有可能越压越大。

下面给出大家几乎是所有的AddOutputFilterByTypeDEFLATE后跟的压缩文件类型，大家可以参照选择。

八、mod_expires缓存功能

虽然我们上面通过mod_deflate模块启用了压缩，从很大程度上节约了企业带宽，降低了企业成本。可是由于现在越来越多的图片、脚本、css和flash被嵌入到页面中，当客户访问站点势必会做很多次的http请求，因此我们还可以通过mod_expires缓存模块来设置ExpiresHeader来缓存这些文件。Expires是通过header报文来指定特定类型的文件在游览器中的缓存时间的。平时，我们大多数的图片，flash在发布之后都是不需要经常修改的，因此做了缓存之后，游览器第一次从服务器下载之后，就不需要再从服务器下载这些文件而是直接从游览器缓存中读取了。这样客户访问页面的速度就会大大加快，企业的带宽压力也得到了缓解。

1、mod_expires模块检查及安装

检查mod_expires模块是否安装的方法如下：

安装了的话，就可以直接进行压缩配置了，如果没有安装，下面为安装方法

a）编译方式安装

编译的时候跟上--enable-expires即可实现安装

b）DSO方式安装