在CentOS系统中搭建安全的Web环境需要从系统基础配置、服务安装、权限管理、防火墙设置以及定期维护等多个维度进行综合考量，以下是详细的搭建步骤和最佳实践,以确保Web服务器的稳定性和安全性。
系统基础安全配置
在安装Web服务之前，首先需要确保CentOS系统本身的安全性，建议使用最小化安装，避免安装不必要的软件包，以减少潜在攻击面，创建非root用户并赋予sudo权限，禁用root远程登录，通过修改/etc/ssh/sshd_config文件，将PermitRootLogin设置为no，并重启SSH服务，定期更新系统软件包是基础安全措施，使用yum update -y命令安装所有安全补丁,确保系统组件不存在已知漏洞。
安装并配置Web服务器
Apache和Nginx是CentOS上常用的Web服务器，以Nginx为例，首先通过yum install nginx -y安装，然后启动并设置为开机自启systemctl enable --now nginx，配置文件位于/etc/nginx/nginx.conf，建议将网站文件存放于/var/www/html目录，并设置正确的权限：chown -R nginx:nginx /var/www/html，在配置文件中，禁用不必要的HTTP方法（如TRACE、DELETE），仅保留GET和POST，以减少攻击风险，启用Gzip压缩优化性能,但需注意CPU资源消耗。
配置SSL/TLS加密
为保障数据传输安全，必须启用HTTPS，通过Let’s Encrypt免费获取SSL证书，使用certbot工具安装：yum install certbot python3-certbot-nginx -y，然后运行certbot --nginx -d yourdomain.com自动配置证书,Nginx配置中需添加以下内容：
listen 443 ssl; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3;
确保HTTP请求自动跳转至HTTPS，通过return 301 https://$server_name$request_uri;实现。
权限与文件系统安全
Web服务运行用户（如nginx）应遵循最小权限原则，避免直接使用root，配置文件和目录权限需严格限制：chmod 640 /etc/nginx/nginx.conf，chmod 750 /var/www/html，禁用目录遍历和列表功能，在Nginx配置中添加autoindex off;，使用SELinux增强系统安全，确保其处于 enforcing 模式，并通过semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"和restorecon -Rv /var/www/html设置正确的安全上下文。
防火墙与入侵检测
启用防火墙（firewalld）并开放必要端口：firewall-cmd --permanent --add-service=http https --add-port=80/tcp --add-port=443/tcp，然后重载防火墙规则，安装Fail2ban防止暴力破解，通过yum install fail2ban -y配置，监控Nginx和SSH登录日志，自动封禁恶意IP，在/etc/fail2ban/jail.local中添加：
[nginx-http-auth] enabled = true port = http,https filter = nginx-http-auth maxretry = 3 bantime = 3600
定期维护与监控
安全是持续的过程，定期备份网站数据和配置文件，使用rsync或tar命令实现增量备份，监控日志文件（/var/log/nginx/access.log和error.log），通过logrotate工具管理日志轮转，避免磁盘空间耗尽，安装监控工具如htop或nagios，实时检查系统资源和服务状态，定期审计系统，使用lynis工具扫描安全配置：lynis audit system。
FAQs
如何检查Nginx配置是否正确？
答：使用命令nginx -t测试配置文件语法，若输出“syntax is ok”和“test is successful”，则配置正确；否则根据错误提示修改文件后重试,重启Nginx前务必通过此测试。
如何防止DDoS攻击？
答：除了防火墙和Fail2ban，可配置Nginx的limit_req模块限制请求频率，在location块中添加：
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; limit_req zone=one burst=20 nodelay;
此配置限制每秒10个请求，突发允许20个，有效缓解CC攻击,考虑使用专业抗DDoS服务或硬件设备。