APACHE+MYSQL+PHP+SSL服务器之完全安装攻略

　　目的我们的目标是安装一个允许我们托管多个的web服务器，其中一些是针对电子商务的安全解决方案，而大部分是通过连接一个数据库服务器并且提取其数据的脚本驱动的。

为了这个任务所需的工具是：

Apache－一个服务器
Mod_SSL－一个安全套接字层(SSL)的模块
OpenSSL－开放源代码工具箱(mod_ssl所需）
RSARef－仅对美国用户
MySQL－一个数据库服务器
PHP－一种脚本语言

　　“条条大路通罗马”……因此这只是很多能达到我们要求的配置之一。我选择这样的配置，是因为它是最简单和最快的一种。选择Mod_SSL/OpenSSL的原因是因为我有它的先前经验，是最快配置和最容易安装的一种。为了彼此方便地与Apache集成，我选择了PHP和MySQL。记住，Perl能做到你想要做任何工作，然而，PHP对任何想学习它地程序员来说简单并且容易。

　　希望你将在结束这个简单的指南后能成功地完成下列目标。

　　安装并设置MySQL数据库服务器

o 知道怎样检查MySQL服务器的状态
o 知道怎样使用命令行客户程序存取MySQL服务器
o 知道怎样从web存取你的DB服务器

　　安装并设置具备SSL的Apache服务器

o 配置一个简单的虚拟
o 知道怎样停止并启动服务器
o 知道怎样做一些基本的主机托管配置

　　安装并配置服务器端脚本的PHP 4.0超文本预处理器

o 知道怎样编写简单的php代码
o 知道怎样使用php连接一个DB
o 创建一个启用PHP地简单与一个数据库沟通

　　创造一些样本证书用于Apache SSL

o 知道怎样产生一个CSR文件
o 知道怎样加密一个键码
o 知道怎样 签署你自己的证书

　　本文将覆盖大量的信息。本指南作为一个入门性地的指南，让你步入电子商务、脚本和安全套接字层 (SSL)的世界，目的是帮助你建立由存储在数据库中的动态信息驱动的安全。

　　本文绝非是一个详细全面的文档，它当然将有一些错误(希望最小)，在你阅读它时请记住这一点。然而，它将激起你的热情并运行前面提到的产品，希望让你更好理解这些东西是怎样工作的。不需要以前的编程知识，但假定你有点计算机知识背景。我的目标是编写这个文档以便任何新手能理解我正在谈论的东西。如果我达到了，那么我做了一件好事。如果你轻而易举地建立了电子商务站点，比我做的更出色:-) 给我一些解释。


　　假设本文假设你已经把下列软件安装在你的上了。

Perl (最好是ver 5+)
gzip或gunzip
gcc 和 GNU make

　　如果你没有安装好这些，你将需要采取必要的步骤在解释本文的任何过程前把他们安装好。

　　你也需要对UNIX命令、HTML、和SQL的一个基本了解。你应该有怎样管理你的Linux机器的一个基本了解。你也需要一个完全正常的Linux机器，你将在它上面安装软件。当然你将需要在前面列出的必要的软件包以编译源代码，并且最后，保证你还没有在Linux机器中预装了MySQL、Apache、或PHP。

　　工作原理

　　理解在幕后发生了什么是有帮助的。这里是一个过分简化的工作原理，下图和随后的解释目前不是完全正确的，只是它的一个要点概述：

　　情况是：我们有一个从一个数据库取出一些数据的网页。John Doe从他的浏览器请求该页，请求被发送给web服务器，接着调用一个PHP脚本。PHP脚本由PHP预处理器解释并从数据库中取出数据，然后结果由余下的PHP脚本加工并转化成HTML，做后的HTML被发回用户的浏览器。

　　让我们一步一步地看：

　　John Doe 从他的浏览器中点击一个链接；他的浏览器发送对http://www.yourserver.com/test.php的请求。

　　Apache得到对test.php的请求，它知道.php文件应由PHP预处理器(mod_php)处理，因此它通知 PHP处理它。它知道这些，是因为我们在Apache的配置中指定它。

　　test.php是包含命令的一个PHP脚本。这些命令之一是打开一个到一个数据库的连接并抓取数据。PHP 处理到数据库的连接，并且解释SQL调用从DB中提取数据。
，支付签署费用并等待签署的证书，然后你可以把它存在一个server.crt文件中。关于商业性CA的更多信息，请参见下列链接：

Verisign - http://digitalid.verisign.com/server/apacheNotice.htm
Thawte Consulting - http://www.thawte.com/certs/server/request.html
CertiSign Certificadora Digital Ltda. - http://www.certisign.com.br
IKS GmbH - http://www.iks-jena.de/produkte/ca /
Uptime Commerce Ltd. - http://www.uptimecommerce.com
BelSign NV/SA - http://www.belsign.be

　　你自己的CA

　　第二种，你可以利用自己的CA并由该CA签署CSR。你可以创建自己的认证中心来签署证书。最简单的方法是利用OpenSSL提供的CA.sh或 CA.pl脚本。比较复杂而且是手工的方法是：

　　为你的CA创建一个RSA私用密钥（ 被Triple-DES加密并且进行PEM格式化的）：

# openssl genrsa -des3 -out ca.key 1024

　　请在安全的地方备份这个ca.key文件。记住你输入的通行短语(pass phrase)！你可以通过下面的命令看到这个RSA私用密钥的细节。

# openssl rsa -noout -text -in ca.key

　　而且你可以为这个RSA私用密钥创建一个加密的PEM版本（不推荐），通过下列命令：

# openssl rsa -in ca.key -out ca.key.unsecure

　　利用CA的RSA密钥创建一个自签署的CA证书（X509结构）（输出将是PEN格式的）：

# openssl req -new -x509 -days 365 -key ca.key -out ca.crt

　　你可以通过下列命令查看该证书的细节：

# openssl x509 -noout -text -in ca.crt

　　准备一个签署所需的脚本，因为"openssl ca"命令有一些奇怪的要求而且缺省的OpenSSL配置不允许简单地直接使用"openssl ca"命令，所以一个名为sign.sh的脚本随mod_ssl分发一道发布（子目录pkg.contrib/）。 使用该脚本进行签署。

　　现在你可以使这个CA签署服务器的CSR，以便创建用于Apache服务器内部的真正的SSL证书（假定你手头已经有一个server.csr）：

# ./sign.sh server.csr

　　它签署服务器的CSR并且结果在一个server.crt文件中。

　　现在你有两个文件：server.ket和server.crt。在你的Apache的httpd.conf文件中，如下使用它们：

SSLCertificateFile /path/to/this/server.crt
SSLCertificateKeyFile /path/to/this/server.key

　　server.csr不再需要了。