Każde ustawienie to jedna zmienna środowiskowa
Każde ustawienie to zmienna środowiskowa — do tego jeden opcjonalny plik, .oxphpdeny, z regułami blokowania ścieżek — a każda zmienna ma wartość domyślną, która sprawdza się na produkcji. Wdróż puste środowisko, a potem nadpisz tylko te zmienne, na których naprawdę Ci zależy.
Wszystko spoza tego zbioru — literówki w rodzaju „ture” — powoduje natychmiastowy błąd przy starcie, ze wskazaniem zmiennej. Pusta wartość znaczy tyle co nieustawiona: podstawienia FOO=${FOO} dające FOO= wracają do wartości domyślnej, zamiast odmówić uruchomienia.
Serwer i workery
15 zmiennychAdres i port głównego serwera HTTP.
Katalog główny do serwowania plików i skryptów PHP.
Pojedynczy kanoniczny plik wejściowy. Nieustawiony = bezpośrednie mapowanie plików, *.php = front controller, plik inny niż .php = fallback SPA; w trybie worker — bootstrap workera. Rozwiązywany względem DOCUMENT_ROOT.
Włącza trwały tryb worker. Wymaga, aby ENTRY_FILE wskazywał na skrypt .php.
Maksymalna liczba jednoczesnych połączeń TCP. Także pułap domyślnego QUEUE_MAX_WAITING (jego połowa); nieprawidłowa wartość to błąd startu. Utrzymuj ją powyżej PHP_WORKERS + QUEUE_CAPACITY + QUEUE_MAX_WAITING.
Wątki asynchronicznego wejścia-wyjścia. 1 = jednowątkowo, N = stała liczba, nieustawiony = automatycznie. Dzieli rdzenie z PHP_WORKERS — podniesienie do pełnej liczby rdzeni zwykle obniża przepustowość. CPU to liczba rdzeni, na których proces może działać (maska affinity, obniżona do limitu cgroup quota), a nie waga CPU ani limit, który platforma egzekwuje poza kontenerem; wiersz CPU count for default sizing przy uruchamianiu pokazuje, co zostało policzone.
Backend wykonujący PHP: sapi dla prawdziwego PHP, stub do benchmarkowania bez PHP.
Rozmiar puli workerów. N = stała pula, MIN:MAX = dynamiczne skalowanie, 0 = automatycznie. Automatyczny dobór liczy CPU tak samo jak TOKIO_WORKERS — na planie, którego limitu CPU kontener nie widzi (cpu_source: host w logu uruchamiania), ustaw obie zmienne jawnie.
Liczba sekund bezczynności dynamicznego workera przed jego wycofaniem. Wycofanie czeka na moment bez niczego w toku, więc żądania w trakcie realizacji nigdy nie są ucinane.
Maksymalna liczba oczekujących żądań w kolejce PHP; żądania trafiające na pełną kolejkę czekają do QUEUE_WAIT_TIMEOUT_MS. 0 = automatycznie. Dla pul MIN:MAX początkowa liczba workerów = wartość minimalna.
Górny limit czasu, przez jaki żądanie może czekać na workera PHP przed 529 — jeden termin obejmujący oczekiwanie na miejsce w kolejce i w kolejce. Przy przeciążeniu serwer sam go skraca (do 1/64, min. 10 ms); obowiązującą wartość pokazuje oxphp_admission_wait_budget_us. 0 = odrzucaj w chwili zapełnienia kolejki.
Maksymalna liczba żądań zaparkowanych w oczekiwaniu na miejsce w kolejce; powyżej niej natychmiastowe 529. Każdy oczekujący trzyma połączenie i zbuforowane ciało. 0 = automatycznie.
Maksymalna liczba bajtów ciał żądań trzymanych przez zbiór oczekujących; ciało, które by ją przekroczyło, dostaje natychmiastowe 529, żądania bez ciała czekają dalej. 0 = automatycznie.
Górny limit pamięci na workera w MiB przed jego recyklingiem. 0 = bez ograniczeń. Workery są też recyklingowane po trzech kolejnych żądaniach zakończonych awarią lub na żądanie przez Worker::scheduleExit().
Buduje $_SERVER i $_GET przed każdym skryptem. Wartość fałszywa pomija tę pracę; nie wpływa na $_POST, $_FILES, $_COOKIE ani php://input.
Ruch i dostarczanie
18 zmiennychMaksymalny czas w sekundach na odebranie nagłówków HTTP po nawiązaniu połączenia (ochrona przed Slowloris).
Maksymalny czas w sekundach na trwające żądania podczas łagodnego zamknięcia; maruderzy są potem anulowani. Żądanie zablokowane w wywołaniu blokującym może utrzymać proces dłużej.
Maksymalna liczba żądań na IP w oknie. 0 = wyłączone; pełna kolejka PHP odpowiada 529.
Czas trwania okna ograniczania liczby żądań w sekundach.
Ścieżka do certyfikatu PEM. Aby włączyć TLS, muszą być ustawione zarówno TLS_CERT, jak i TLS_KEY.
Ścieżka do klucza prywatnego PEM.
Minimalna wersja TLS: 1.2 lub 1.3. Weryfikowana przy starcie, nawet gdy TLS jest wyłączony.
Maksymalna liczba jednocześnie otwartych strumieni na połączenie.
Maksymalna liczba oczekujących ramek RST_STREAM przed zamknięciem połączenia (ochrona przed Rapid Reset).
Maksymalna łączna liczba zdekodowanych bajtów nagłówków na żądanie.
Liczba sekund między ramkami PING; 0 wyłącza.
Liczba sekund oczekiwania na odpowiedź PING przed zamknięciem połączenia.
Cache-Control: max-age dla plików statycznych. Przyjmuje 30s, 5m, 2h, 30d, 1w, 1y, samą liczbę sekund lub off. Zastępuje STATIC_CACHE_TTL.
Ponowna walidacja mtime dla pamięci podręcznej w pamięci — sprawdzana najwyżej co 3 s na plik. Zastępuje STATIC_CACHE.
Oferowane kodowania treści: br, zstd, gzip. off/none wyłącza kompresję. Kolejność jest ignorowana — buforowane pliki statyczne preferują Brotli, wszystko inne zstd.
Jakość Brotli 0–11; 0 wycofuje Brotli. Zastępuje COMPRESSION_LEVEL (którego 0 nadal wyłącza wszystkie kodowania).
Poziom Zstandard 0–19; 0 wycofuje zstd. Wartości spoza zakresu przerywają start.
Poziom gzip 0–9; 0 wycofuje gzip. Wartości spoza zakresu przerywają start.
Bezpieczeństwo
5 zmiennychOchrona przed clickjackingiem: SAMEORIGIN, DENY lub off. Ustawia X-Frame-Options + CSP frame-ancestors na każdej odpowiedzi; nagłówki ustawione przez aplikację zawsze mają pierwszeństwo. Nieprawidłowe wartości wracają do SAMEORIGIN z ostrzeżeniem przy starcie.
Zaufane proxy: rozdzielona przecinkami lista łącząca zakresy CIDR, pojedyncze adresy IP i słowa kluczowe private oraz cloudflare. Rzeczywisty IP klienta z Forwarded / X-Forwarded-* metodą rightmost-non-trusted; przy cloudflare z CF-Connecting-IP, gdy żądanie przyszło przez serwer brzegowy Cloudflare.
Wzorce glob, których pliki .php nigdy nie są wykonywane przez bezpośredni URI (/uploads/**). Dopasowywane przed operacjami dyskowymi — nie zdradzają, czy plik istnieje.
Odpowiedź przy dopasowaniu do PHP_DENY_PATHS lub do reguły blokującej z .oxphpdeny: status HTTP 400–599 lub skrypt fallback PHP z prefiksem / wewnątrz DOCUMENT_ROOT. W trybie worker reguły blokujące z .oxphpdeny przyjmują wyłącznie kod statusu.
Ścieżki bezwzględne, pod którymi dowiązania symboliczne mogą wyjść poza DOCUMENT_ROOT. Nieustawiony = brak dozwolonych wyjść.
Logi, ślady i profile
39 zmiennychPoziom szczegółowości własnej diagnostyki serwera: trace, debug, info, warn, error. Nie filtruje logu dostępu; rozłączenia klientów są logowane na poziomie debug.
Rejestrowanie dostępu dla każdego żądania: all = każde żądanie, error = tylko 4xx/5xx, nieustawiony = wyłączone.
Serwer wewnętrzny (/health, /metrics, /config). Wartości zawierające tylko port wiążą się z 127.0.0.1; nieustawiony = nieuruchomiony.
Lista dozwolonych CIDR dla serwera wewnętrznego; obcy otrzymują 403, sondy kontroli stanu pozostają dostępne. Loopback nie jest domyślny.
Katalog z niestandardowymi stronami błędów {status}.html.
Maksymalna liczba bajtów ciała dla wewnętrznych endpointów zapytań (512 KiB).
Propagacja W3C Trace Context: odczytuje traceparent/tracestate i przekazuje je do PHP przez $_SERVER.
Włącza eksport spanów OpenTelemetry. Implikuje TRACE_CONTEXT=true.
Protokół eksportu: grpc lub http/protobuf.
Endpoint kolektora OTLP. Przy http/protobuf jest to bazowy URL: spany są wysyłane pod jego ścieżkę /v1/traces.
Limit czasu eksportu w milisekundach. Przy gRPC ogranicza też nawiązywanie połączenia z kolektorem, łącznie z uzgadnianiem TLS, a na Linuksie określa, jak szybko zamykane jest połączenie, które przestało przyjmować dane.
Nagłówki uwierzytelniania: key=value,key2=value2.
Nazwa usługi w eksportowanych spanach.
Atrybut wersji usługi.
Dodatkowe atrybuty zasobu: env=prod,region=us-east-1.
Strategia próbkowania: always_on, always_off, traceidratio oraz warianty parentbased_*.
Współczynnik próbkowania 0.0–1.0 dla samplerów opartych na współczynniku; wartości spoza zakresu są przycinane.
APM: automatyczne instrumentowanie 34 funkcji PHP (PDO, mysqli, cURL, Redis…), przechwytywanie błędów, SDK śledzenia. Wymaga OTEL_ENABLED. Gdy wyłączone, oxphp_apm_trace() nadal wykonuje swój callback.
Próg wolnych zapytań w ms; wolniejsze zapytania do bazy danych otrzymują oxphp.db.slow=true.
Zapisuje parametry powiązane w spanach db.params. Zapisywane w postaci surowej (bez maskowania), więc mogą umieścić w śladach dane osobowe — włączaj tylko tam, gdzie to akceptowalne.
Limit atrybutu exception.stacktrace; przycinany od końca. 0 = bez przycinania.
Limit atrybutu exception.message (limit New Relic na atrybut); przycinany od końca. 0 = bez przycinania.
Główny przełącznik. Pozostałe zmienne PROFILER_* są nadal parsowane, więc literówki ujawniają się przy starcie.
Prawdopodobieństwo 0.0–1.0, że żądanie zostanie spróbkowane.
Próbkuje także żądania do serwera wewnętrznego.
Sekret, który muszą nieść jawne wyzwalacze (nagłówek X-OxPHP-Profile, ciasteczko OXPROF, zapytanie __oxprof), i token Bearer dla /__profiler/*. Nieustawiony = bez tokenu. Próbkowanie i funkcje OxPHP\Profile\* nigdy go nie sprawdzają.
Limit spanów na żądanie; dłuższe profile są przycinane.
Maksymalna głębokość zagnieżdżenia rejestrowanych wywołań; czas głębszych wywołań wlicza się do wywołania na granicy. Przycinana do 32.
Katalog na profile zapisywane na dysku.
Formaty zapisywane na dysk: xhprof, speedscope, pprof, flamegraph.
Ograniczenie liczby plików profili zapisywanych na sekundę.
Maksymalna liczba przechowywanych plików profili; starsze są usuwane.
Zdalny endpoint, do którego wysyłane są profile metodą POST.
Format transmisji dla eksportów.
Token Bearer wysyłany z każdym eksportem.
Opakowanie zgodne z XHGui; nieustawiony = automatyczne wykrywanie na podstawie URL.
Koperta Buggregator (zawsze xhprof); nieustawiony = automatyczne wykrywanie na podstawie URL. Wyklucza się z PROFILER_EXPORT_XHGUI.
app_name Buggregatora do grupowania projektów.
Tagi Buggregatora: key=value,key2=value2. Nieprawidłowe tokeny to błąd startu.
Asynchroniczność i stan współdzielony
18 zmiennychOpcjonalne, zawieszające fiber zamienniki blokujących funkcji wbudowanych. Kategorie: sleep (natywne sleep/usleep), streams (blokujące odczyty tcp:// i stream_select), net (nawiązywanie połączeń, uzgadnianie połączeń i odczyty TLS, zapisy czekające na miejsce w buforze, odczyty unix:// / udp:// / udg:// — wymaga streams, tylko Linux). 1/true/all = każda kategoria. Zainstalowany zestaw widoczny jako runtime_hooks w /config.
Dedykowane wątki workerów asynchronicznych. 0 = funkcje zarejestrowane, ale rzucające AsyncException przy wywołaniu.
Maksymalna liczba oczekujących zadań w kolejce asynchronicznej. 0 = automatycznie.
Limit współbieżnych Fiberów zadań na workera; globalny limit w locie = Fibery × workery.
Główny przełącznik dla całego podsystemu OxPHP\Shared\*. Wyłączony = jego klasy nie są w ogóle rejestrowane; zabezpieczaj przez class_exists().
Globalny limit żywych obiektów Shared (klucze Map się nie liczą); utworzenie obiektu powyżej niego rzuca CapacityException.
Globalny limit szacowanej pamięci obiektów Shared, sprawdzany tylko przy tworzeniu obiektu.
Przełącza ekspozycję Prometheus oxphp_shared_*.
Przełącza API introspekcji /__ox_shared/*.
Podglądy wartości w odpowiedziach introspekcji; wyłącz, jeśli podglądy mogłyby ujawnić dane.
Głębokość BFS przy sprawdzaniu cykli; zwiększ dla głębokich grafów.
Liczba krawędzi przechodzonych podczas sprawdzania cykli; zwiększ dla gęstych grafów.
Limit rozmiaru pojedynczej wartości; większe wstawienia szybko kończą się błędem.
Limit łącznego ładunku na kanał.
Detektor zakleszczeń dla Shared\Mutex: off, warn (loguje i zlicza cykle) lub strict (przerywa je przez DeadlockException). Kompilacje debug domyślnie używają strict.
Jak często detektor zakleszczeń skanuje, w ms.
Przycinanie pojedynczych ciągów znaków w podglądach, w bajtach, z cięciem na granicy znaku.
Liczba wpisów próbkowanych w podglądach /entry.
Przykładowe konfiguracje
Punkty wyjścia prosto z dokumentacji — skopiuj jeden i dostosuj.
Gdy serwer wewnętrzny działa, /config zwraca rozwiązaną konfigurację w formacie JSON. Ścieżki TLS, INTERNAL_ADDR i ERROR_PAGES_DIR są usuwane z odpowiedzi.
Zero konfiguracji to też konfiguracja
Każda domyślna wartość powyżej jest dobrana tak, aby puste środowisko po prostu działało.