如何监控CentOS PHP配置变化

想要监控 CentOS 上 PHP 配置文件（通常为 php.ini）的变化？这是运维工作中常见的需求——配置文件一旦改动，整个 PHP 行为都可能随之改变。如果文件被误改或遭人篡改，缺乏监控将带来隐患。以下提供从轻量级到企业级的几种方法，可根据实际场景直接选用。

1. 使用 inotify 实现实时监控，简单高效

Linux 内核自带的 inotify 文件系统事件监控机制，能够实时捕获 php.ini 的每一次变动。操作步骤如下：

第一步：安装工具

sudo yum install inotify-tools

第二步：监控文件
假设 php.ini 位于 /etc/php.ini，执行以下命令：

sudo inotifywait -m -e modify,attrib,close_write,move,create,delete /etc/php.ini

参数说明：
-m 表示持续监控；
-e 后指定要捕捉的事件类型，包括修改、属性变化、关闭写入、移动、创建、删除——基本覆盖所有可能的改动。

第三步：编写自动化脚本
将上述命令写入脚本，例如 monitor_php_ini.sh：

#!/bin/bash
inotifywait -m -e modify,attrib,close_write,move,create,delete /etc/php.ini |
while read path action file; do
    echo "PHP 配置文件 $file 发生了 $action 变化"
    # 在此处添加通知、日志等操作
done

赋予执行权限后运行，即可自动响应每一次变动：

chmod +x monitor_php_ini.sh
./monitor_php_ini.sh

2. 使用 auditd 进行审计，适合需要详细日志的场景

如果不仅需要知道文件发生了变化，还要记录变更者、变更时间及具体内容，auditd 是更专业的审计工具。

安装：

sudo yum install audit

配置规则：
编辑审计规则文件 /etc/audit/rules.d/audit.rules，添加一行：

-w /etc/php.ini -p wa -k php_ini_change

参数含义：
-w 指定监控的文件或目录；
-p wa 表示监控写入（write）和属性更改（attribute）；
-k 为审计事件添加标签，便于后续过滤。

重启服务：

sudo systemctl restart auditd

查看日志：
审计记录存储在 /var/log/audit/audit.log。使用 ausearch 按标签查找：

sudo ausearch -k php_ini_change

3. 将配置文件纳入版本控制，适合习惯变更管理的人员

使用 Git 管理 php.ini，虽不能实时告警，但能像翻阅记录一样回溯每次改动——谁修改、修改了哪些行、附带注释，信息一目了然。

初始化仓库：

cd /etc
sudo git init
sudo git add php.ini
sudo git commit -m "Initial commit of php.ini"

每次修改后提交：

sudo git add php.ini
sudo git commit -m "描述本次修改的具体内容"

结合 git log 和 git diff，历史变化清晰可查。此方法偏向事后追溯，非实时监控。

4. 企业级监控工具：Prometheus + Alertmanager 或 Nagios、Zabbix

当服务器规模扩大，或需要文件完整性校验、集中告警时，可选用 Prometheus 体系或 Nagios、Zabbix 等传统监控系统。这些工具通常支持自定义脚本或 Agent 监控文件变化，配置相对复杂，但优势在于能集成到统一告警平台。

总结

大多数场景下，使用 inotify 即可满足需求——轻量、实时、易理解。若审计合规要求严格，可以考虑 auditd。此外，养成将配置文件纳入版本控制的习惯也很重要，即使只是随手执行 git commit，也能大幅减少问题排查的难度。根据实际需求选择合适的方法，避免配置文件的变化成为“做了却记不清”的隐患。