PHP环境安全需五项配置：一、禁用exec等危险函数；二、关闭display_errors并启用日志记录；三、设置open_basedir限制文件访问；四、关闭allow_url_fopen和allow_url_include；五、启用OPcache并禁用自动重载与CLI模式。
如果您正在运行PHP应用程序，但未对PHP环境进行适当的安全配置，则可能面临代码执行、信息泄露或远程攻击等风险。以下是提升PHP环境安全性的具体设置建议：
一、禁用危险函数
PHP内置的部分函数（如exec、system、shell_exec、passthru、eval等）可直接调用系统命令或动态执行代码，一旦被恶意输入触发，极易导致服务器被完全控制。通过配置php.ini限制其使用，能有效切断常见攻击链路。
1、打开php.ini文件，定位到disable_functions指令行。
2、在该指令后追加需禁用的函数列表，各函数名以英文逗号分隔，例如：exec,system,shell_exec,passthru,eval,proc_open,popen,dl,assert。
立即学习“PHP免费学习笔记（深入）”；
3、保存文件并重启Web服务器（如Apache或Nginx）使配置生效。
二、关闭错误信息对外显示
生产环境中若将PHP错误详情（如文件路径、数据库结构、变量值）直接输出至浏览器，会为攻击者提供关键调试信息。应仅记录错误日志，禁止前端暴露。
1、在php.ini中将display_errors设为Off：display_errors = Off。
2、确保log_errors设为On，并指定错误日志路径：log_errors = On，error_log = /var/log/php_errors.log。
3、若使用.htaccess（Apache），可添加：php_flag display_errors off。
三、限制文件访问范围
启用open_basedir可强制PHP脚本只能访问指定目录及其子目录内的文件，防止通过文件包含漏洞（如include($_GET['file'])）读取/etc/passwd等敏感系统文件。
1、在php.ini中设置open_basedir参数，多个路径用冒号分隔（Linux）或分号分隔（Windows），例如：open_basedir = "/var/www/html:/tmp"。
2、若为虚拟主机环境，可在对应vhost配置或.user.ini中单独设定。
3、确认Web服务器用户对该路径具有最小必要读写权限，避免设置为根目录或/home。
四、禁用远程文件加载功能
allow_url_fopen和allow_url_include开启后，PHP可直接通过HTTP/FTP协议加载远程脚本，这使得攻击者可通过构造恶意URL参数实现远程代码执行（RCE）。除非业务强依赖，否则必须关闭。
1、编辑php.ini，将两项均设为Off：allow_url_fopen = Off，allow_url_include = Off。
2、检查是否被运行时函数（如ini_set）动态覆盖，可在入口文件顶部添加：ini_set('allow_url_fopen', '0'); 和 ini_set('allow_url_include', '0');。
3、重启PHP服务进程验证配置是否生效。
五、启用OPcache并禁用脚本重载
OPcache可将PHP脚本编译后的opcode缓存于内存，不仅提升性能，还间接增强安全性——当源码被篡改时，若未手动清除缓存或重启服务，旧opcode仍会执行，降低恶意脚本即时生效概率；同时应禁用opcache.enable_cli与重载机制。
1、确保opcache扩展已启用，在php.ini中添加：zend_extension=opcache.so（Linux）或 zend_extension=php_opcache.dll（Windows）。
2、配置关键安全项：opcache.enable=1，opcache.validate_timestamps=0（生产环境设为0，禁用自动检测源码变更），opcache.revalidate_freq=0。
3、禁用CLI模式下的OPcache（防止绕过）：opcache.enable_cli=0。
