PHP-FPM pm.status_path 怎样暴露进程池状态

PHP-FPM 的进程池状态页由两层配置共同完成：pool 配置中的 pm.status_path 定义“哪个 URI 被识别为状态页”，前置 Web 服务器则决定“谁能访问这个 URI”。因此，设置了 pm.status_path 并不等于把状态页安全地暴露到公网。实际部署时，应使用带前导斜杠的路径，并在 Nginx 或 Apache 层限制来源网络、认证方式和转发范围。

官方资料：https://www.php.net/manual/en/install.fpm.configuration.php

先分清状态路径和访问入口

pm.status_path 是 PHP-FPM pool 的字符串配置。例如设置为 /fpm-status 后，FPM 才会把这个 URI 当作状态页请求处理；如果忘记前导斜杠，或者没有设置该项，就不能期待状态页正常识别。

这个配置本身不负责监听 HTTP，也不提供公网访问策略。浏览器或监控系统发来的 HTTP 请求仍然要先到 Nginx、Apache 或其他 FastCGI 前置层，再由前置层把请求转发给 FPM。可以把它理解成“FPM 识别规则”和“Web 入口权限”两个独立边界。

在 pool 配置中设置 pm.status_path

在目标 pool 的配置段中加入状态路径。下面只展示关键字段，pool 名称、用户、socket 和进程数量应按现有部署保留；不要为了启用状态页顺手改动无关的进程管理参数。

; PHP-FPM pool 配置示例
; 这个 URI 只用于让 FPM 识别状态页，不代表公网开放。
pm.status_path = /fpm-status

; 可选：主池长期被慢请求占用时，再评估独立状态监听地址。
; pm.status_listen = 127.0.0.1:9001

配置中的 pm.status_listen 是可选项，不应和 pm.status_path 混为一谈。前者是 FastCGI 状态请求的监听地址，后者是状态页 URI。官方手册说明，设置独立监听后会创建一个不可见的池，用于在主池忙于长请求时仍能处理状态请求。

让 Web 服务器只转发受控的状态请求

以 Nginx 为例，状态 URI 通常需要单独的 location。示例中的 socket 路径是占位值，必须替换为当前 FPM pool 实际监听的 socket；访问限制也要按监控网络调整。

location = /fpm-status {
    # 只允许本机和监控网段，避免把池状态暴露给公网。
    allow 127.0.0.1;
    allow 10.20.0.0/16;
    deny all;

    # 把精确的状态 URI 转发到对应 PHP-FPM socket。
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    fastcgi_pass unix:/run/php/php-fpm.sock;
}

如果监控系统不在允许网段，可以在反向代理、内网负载均衡或认证层完成身份校验，再让它访问这条内部路径。不要把状态页直接套进一个对所有请求开放的通用 PHP location，也不要把状态 URI 当作普通业务路由缓存。

主池繁忙时再考虑 pm.status_listen

普通场景下，只配置 pm.status_path 就足够观察进程池。如果状态页经常在慢请求高峰期超时，原因可能不是 URI 写错，而是状态请求也在等待主池资源。这时可以单独配置 pm.status_listen，让状态请求使用独立的 FastCGI 监听地址。

; 独立监听示例：仅绑定本机，避免直接对外监听。
pm.status_path = /fpm-status
pm.status_listen = 127.0.0.1:9001

启用独立监听后，前置层需要把状态 location 转发到新的地址，而业务 PHP 请求继续转发到原来的 socket。这个调整会增加一个监听边界，适合确实需要在主池拥塞时继续采集状态的场景；如果只是第一次配置状态页，不必一开始就增加复杂度。

配置完成后重点检查哪些边界

这套配置的核心不是“让一个 URL 能打开”，而是同时确认 URI 识别、FastCGI 目标和访问边界三件事一致。状态页里可能包含进程数量、队列和请求处理概况，入口权限应按运维信息的敏感程度管理。

常见问题

为什么设置了 pm.status_path 仍然返回普通 404？

先看 URI 是否带前导斜杠，再看 Web 服务器是否把精确 location 转发到正确的 FPM pool；只改 FPM 配置而没有匹配的 FastCGI 转发，也不会自动出现 HTTP 页面。

pm.status_listen 能替代 pm.status_path 吗？

不能。pm.status_path 定义 URI，pm.status_listen 定义状态请求的监听地址。它们解决的是不同层次的问题，可以单独使用，也可以在高峰观测场景组合使用。

状态页可以直接开放给公网监控吗？

不建议。应先在网络、反向代理或认证层限制来源，再让监控系统访问内部入口；不要把池状态当成普通公开接口。