/var/run/php-fpm.sock = 127.0.0.1:9000？
不，/var/run/php-fpm.sock≠127.0.0.1:9000。
二者是PHP-FPM 与 Web 服务器通信的两种不同传输机制：
/var/run/php-fpm.sock是Unix Domain Socket（UDS）127.0.0.1:9000是TCP Socket
虽然功能相同（传递 FastCGI 请求），但底层实现、性能、安全性有本质差异。
一、本质区别：传输层协议
| 维度 | Unix Domain Socket (UDS) | TCP Socket |
|---|---|---|
| 协议栈 | 跳过 TCP/IP，直接内核缓冲区 | 完整 TCP/IP 协议栈 |
| 地址形式 | 文件系统路径（如/var/run/php-fpm.sock） | IP + 端口（如127.0.0.1:9000） |
| 通信范围 | 仅限本机进程 | 可跨主机（但本地用127.0.0.1） |
| 权限控制 | POSIX 文件权限（如660） | 防火墙规则（iptables） |
💡核心认知：
UDS = 本地高速通道，TCP = 通用网络通道
二、性能与安全对比
▶ 1.性能差异
| 指标 | UDS | TCP (127.0.0.1) |
|---|---|---|
| 延迟 | ~5–10 μs | ~15–30 μs |
| 吞吐量 | ↑ 30–50% | 基准 |
| CPU 开销 | ↓ 20%（无 TCP 校验和/序列号计算） | 较高 |
- 原因：
- UDS 跳过 TCP/IP 协议栈 → 无三次握手、ACK、拥塞控制等开销
- 数据直接在内核缓冲区传递，无内存拷贝到网卡驱动
▶ 2.安全差异
| 场景 | UDS | TCP |
|---|---|---|
| 权限控制 | 精确到文件权限（chown www-data:www-data） | 仅能通过 iptables 限制 IP |
| 监听范围 | 仅本机 | 可能误配为0.0.0.0:9000→ 外网可访问 |
| 攻击面 | 极小（需本地文件系统访问） | 较大（端口扫描风险） |
⚠️关键风险：
若 PHP-FPM 监听0.0.0.0:9000，攻击者可直接发送 FastCGI 请求执行任意代码！
三、工程配置示例
▶ 1.UDS 配置（推荐）
; /etc/php/8.2/fpm/pool.d/www.conf listen = /var/run/php/php8.2-fpm.sock listen.owner = www-data listen.group = www-data listen.mode = 0660# Nginx 配置 location ~ \.php$ { fastcgi_pass unix:/var/run/php/php8.2-fpm.sock; }▶ 2.TCP 配置（调试用）
; /etc/php/8.2/fpm/pool.d/www.conf listen = 127.0.0.1:9000# Nginx 配置 location ~ \.php$ { fastcgi_pass 127.0.0.1:9000; }▶ 3.安全加固（TCP 必须）
# 限制仅本地访问sudoiptables -A INPUT -p tcp --dport9000-s127.0.0.1 -j ACCEPTsudoiptables -A INPUT -p tcp --dport9000-j DROP四、如何选择？
| 场景 | 推荐方案 | 理由 |
|---|---|---|
| 生产环境 | ✅ UDS | 性能更高、权限更精细 |
| 跨容器通信 | ⚠️ TCP | Docker 容器间需网络通信 |
| 远程调试 | ⚠️ TCP | 需从其他机器连接 |
| SELinux 环境 | ✅ UDS | 避免网络策略复杂性 |
五、验证方法
▶ 1.检查监听方式
# UDSls-l /var/run/php/php8.2-fpm.sock# srw-rw---- 1 www-data www-data ... /var/run/php/php8.2-fpm.sock# TCPss -tuln|grep9000# LISTEN 0 128 127.0.0.1:9000 0.0.0.0:*▶ 2.性能测试
# 使用 ab 测试 UDS vs TCPab -n1000-c10http://localhost/udstest.php ab -n1000-c10http://localhost/tcptest.php六、终极心法
**“sock 不是端口，
而是本地的密道——
- 当你选择 UDS，
你在拥抱高效安全；- 当你暴露 TCP，
你在扩大攻击面；- 当你理解协议栈，
你在驾驭通信本质。真正的工程能力，
始于对传输的敬畏，
成于对细节的精控。”
结语
从今天起：
- 生产环境优先 UDS
- TCP 必须绑定
127.0.0.1+ 防火墙 - 定期检查 PHP-FPM 监听地址
因为最好的进程通信，
不是盲目用 TCP，
而是精准选择传输机制。