PHP可创建Linux隐藏文件，但必须手动在文件名前加点（如'/tmp/.env'），file_put_contents()等函数本身无隐藏语义；隐藏仅由basename首字符为.决定，与路径中其他位置的点无关。
PHP 无法直接创建 Linux 隐藏文件（即以 . 开头的文件），除非你显式指定文件名以点开头——它本身没有“隐藏属性”概念，隐藏完全由文件名决定。
PHP 的 fopen() 或 file_put_contents() 能否生成隐藏文件？
可以，但必须手动在文件路径中加入点前缀。PHP 不会自动加 .，也不会识别“隐藏”语义。
-
file_put_contents('/tmp/.env', 'DB_HOST=localhost');→ 成功创建隐藏文件 -
file_put_contents('/tmp/env', '...');→ 普通文件，不隐藏 - 如果路径来自用户输入或配置，务必校验是否含非法点序列（如
..）防止路径穿越 - 注意：Web 服务器（如 Apache/Nginx）默认禁止通过 HTTP 访问以
.开头的文件，这是安全机制，不是 PHP 行为
为什么 touch('.config') 在 PHP 中可能失败？
因为 touch() 是函数，不是 shell 命令；你不能直接传字符串当命令执行。常见错误是误写成：
touch('.config'); // ✅ 正确：调用 PHP 函数
但更可能是想用 shell 命令却忘了 exec()：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
立即学习“PHP免费学习笔记（深入）”；
exec('touch /tmp/.config'); // ⚠️ 可行但危险：需确保路径可控、无注入
- 优先用
file_put_contents()或fopen()，更安全、跨平台 - 若必须用
exec()，请严格过滤路径：basename($filename)+ 白名单校验 - 注意权限：PHP 进程用户（如
www-data）必须对目标目录有写权限
Linux 下隐藏文件的真实含义与 PHP 的关系
Linux 中“隐藏”只是约定俗成：ls 默认不显示以 . 开头的条目，cat、stat、file_exists() 全部照常工作。
-
file_exists('/tmp/.cache')返回true即使它“隐藏” -
scandir('/tmp')会返回.和..，以及所有.xxx文件 —— 你需要自己过滤 - PHP 没有
is_hidden()函数，判断方式只能是：basename($path)[0] === '.' - 注意：Windows 不按此规则隐藏，所以跨平台代码中不要依赖“隐藏”做逻辑分支
真正容易被忽略的是：隐藏文件名中的点必须是路径最后一级的首字符，比如 /var/www/.htaccess 有效，但 /var/.www/config.php 并不隐藏 config.php —— 隐藏只作用于 basename，不是路径任意位置。
