مشکل open_basedir restriction in effect برای کاربر CageFS

مقدمه

وقتی از CloudLinux به همراه CageFS و PHP Selector استفاده می‌شود، ممکن است هنگام اجرای ابزارهایی مثل WordPress Toolkit CLI، خطایی شبیه به پیام زیر ظاهر شود:

PHP Warning: Phar::mapPhar(): open_basedir restriction in effect.  
File(/usr/local/bin/wp) is not within the allowed path(s): (/home/user: … :/opt/alt/php80)

این خطا نشان می‌دهد که تنظیم open_basedir در PHP بسیار محدود است و اجازه دسترسی به مسیر مورد نظر را نمی‌دهد. CloudLinux در مستندات رسمی خود راهکاری ساده ارائه کرده است.

ریشه مشکل

مشکل از تنظیمات open_basedir در PHP است که مسیرهای مجاز را خیلی محدود تعریف کرده است. cloudlinux.zendesk.com
وقتی کاربر داخل CageFS است، PHP با محدودیت‌های فایل سیستم روبروست (کاربر فقط می‌تواند به مسیرهایی که در پیکربندی CageFS/open_basedir تعریف شده‌اند، دسترسی داشته باشد). cloudlinux.zendesk.com+2cloudlinux.zendesk.com+2
اگر مسیر ابزار CLI (مثل /usr/local/bin/wp) در open_basedir تعریف نشده باشد، خطا ایجاد می‌شود، چون PHP اجازه دسترسی به آن را ندارد.

راه‌حل پیشنهادی

طبق مستند CloudLinux:
غیرفعال کردن open_basedir در PHP Selector برای کاربر مورد نظر. cloudlinux.zendesk.com

مراحل پیشنهادی:

وارد پنل LVE Manager / PHP Selector شوید.
برای کاربری که این خطا را دارد، تنظیمات PHP Selector را باز کنید.
گزینه open_basedir را در تنظیمات PHP غیرفعال کنید (مقدار آن را پاک کرده یا روی none تنظیم کنید).
پس از تغییر، ذخیره را انجام دهید و مطمئن شوید که تغییرات اعمال شده‌اند (ممکن است PHP/FPM ری‌استارت شود، بسته به نحوه پیکربندی).
اگر لازم است، کاربر را خارج از CageFS دوباره وارد کنید یا فرآیند کلی CageFS را به‌روزرسانی کنید.

نکات امنیتی و هشدارها

غیرفعال کردن open_basedir ممکن است ریسک امنیتی ایجاد کند، چون PHP می‌تواند به مسیرهای بیشتری دسترسی داشته باشد.
با این حال، چون کاربر داخل CageFS است، بخش زیادی از ایزولاسیون مسیر توسط CageFS تأمین می‌شود، بنابراین حذف open_basedir در این حالت تا حدی قابل قبول است.
پس از اعمال این تغییر، باید نظارت کنید (مانیتورینگ) تا مطمئن شوید کاربر سوءاستفاده نکند یا آسیب‌پذیری ایجاد نشود.

جمع‌بندی

خطای «open_basedir restriction in effect» در محیط CloudLinux + CageFS وقتی رخ می‌دهد که مسیرهای مجاز open_basedir به درستی تنظیم نشده‌اند. cloudlinux.zendesk.com
راه حل پیشنهادی CloudLinux، غیرفعال کردن open_basedir برای آن کاربر در PHP Selector است. cloudlinux.zendesk.com
این کار باعث می‌شود ابزارهایی مثل WP-CLI (یا WordPress Toolkit CLI) بدون خطا اجرا شوند، اما باید تعادل بین عملکرد و امنیت را در نظر گرفت.