防止PHP源码泄露需从服务器配置、权限控制、函数禁用等多方面入手：一、通过Apache或Nginx禁止访问.env、.log、.bak等敏感文件；二、将代码目录置于Web根目录外，设置严格文件权限（如chmod 640 .php文件）；三、关闭display_errors，启用error_log，禁用exec、system等危险函数；四、开启OPcache并设置opcache.validate_timestamps=0，避免源码被解析返回；五、对配置文件加密存储，运行时动态解密，防止密钥泄露。综合施策可有效防范源码暴露风险。
如果您在将PHP应用部署到生产环境时，发现源码可能被直接访问或下载，则可能是由于Web服务器配置不当、文件权限设置宽松或敏感文件未做保护。以下是防止PHP源码泄露的多种技术手段：
一、配置Web服务器禁止访问敏感文件
通过Web服务器（如Apache或Nginx）的配置规则，可阻止用户直接请求.php文件以外的敏感资源，例如配置文件、备份文件、日志文件等，从而避免因路径猜测导致的源码暴露。
1、在Apache的.htaccess文件中添加以下规则：
<FilesMatch "\.(env|ini|log|sql|bak|swp|git|svn|yml|yaml|xml|json|conf|cfg|dist|old|orig|backup)$">Order Allow,DenyDeny from all</FilesMatch>
立即学习“PHP免费学习笔记（深入）”；
2、在Nginx配置中，在server块内添加：
location ~ \.(env|ini|log|sql|bak|swp|git|svn|yml|yaml|xml|json|conf|cfg|dist|old|orig|backup)$ { deny all; }
3、确保Web根目录不包含phpinfo.php、test.php等调试文件，部署前统一清理。
二、调整PHP文件权限与目录结构隔离
操作系统层面的文件权限控制能有效限制Web进程对非必要文件的读取能力，结合文档根目录（DocumentRoot）与应用代码目录分离，可大幅降低源码被遍历或下载的风险。
1、将PHP源码存放于Web根目录之外，例如：/var/www/app/为代码目录，/var/www/public/为Web可访问目录，仅将index.php和静态资源放入public。
2、执行命令限制代码目录权限：
chmod 750 /var/www/app/ && chown www-data:www-data /var/www/app/
3、禁止Web用户组写入PHP源码目录，运行：find /var/www/app -type f -name "*.php" -exec chmod 640 {} \;
三、禁用危险PHP函数与错误信息输出
开启详细错误提示或保留危险函数可能导致源码路径泄露、文件内容读取甚至远程代码执行，关闭此类功能是基础性防护措施。
1、在php.ini中设置：
display_errors = Off
log_errors = On
error_log = /var/log/php_errors.log
2、禁用高危函数，修改disable_functions指令：
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,parse_ini_file,show_source,highlight_file
3、重启PHP-FPM或Web服务使配置生效：systemctl restart php8.2-fpm nginx
四、使用OPcache并关闭PHP源码可读性暴露
启用OPcache不仅提升性能，还可配合配置避免原始PHP文件被意外解析或返回，尤其在CGI/FastCGI模式下防止脚本被当作纯文本返回。
1、确认OPcache已启用，在php.ini中检查：
opcache.enable=1
opcache.enable_cli=0
2、添加强制字节码缓存且不检查文件变更：
opcache.validate_timestamps=0
opcache.revalidate_freq=0
3、禁止通过HTTP直接获取PHP文件原始内容：确保Nginx/Apache未配置add_handler application/x-httpd-php .php以外的冗余解析规则，避免.phps等扩展名被映射为源码高亮输出。
五、部署阶段自动加密与混淆关键配置文件
对数据库连接、密钥等敏感配置进行运行时解密，可防止配置文件被直接读取后泄露核心凭证，即使源码被获取，也无法直接还原明文信息。
1、使用openssl生成AES-256密钥并保存至服务器安全位置：
openssl rand -base64 32 > /etc/app/config.key
2、将config.php内容加密后重命名为config.enc：
openssl enc -aes-256-cbc -salt -in config.php -out config.enc -pass file:/etc/app/config.key
3、在入口文件index.php中加载时动态解密：
$key = file_get_contents('/etc/app/config.key'); $config = openssl_decrypt(file_get_contents('config.enc'), 'AES-256-CBC', $key, 0, substr($key, 0, 16));
