open_basedir是PHP文件系统访问的强制边界线，非补丁；它通过前缀匹配限制所有文件操作函数（如require、file_get_contents），路径末尾必须加斜杠，多路径用冒号分隔，配置后需重启PHP服务生效。
open_basedir不是补丁，是边界线
它不修复LFI漏洞本身，而是让漏洞利用失败——哪怕include($_GET['page'])这种明显错误的代码执行了，PHP也会在文件系统层直接拦截越界访问。关键在于：open_basedir生效后，所有文件操作函数（file_get_contents、require、fopen等）都受约束，但system、exec这类命令执行函数不受限（所以禁用它们仍是必须的）。
配置时路径末尾必须带斜杠
这是最容易踩的坑。写成 open_basedir = /var/www/html，实际允许访问 /var/www/html_bak 或 /var/www/html_config.php ——因为它是前缀匹配，不是目录精确匹配。
- 正确写法：
open_basedir = /var/www/html/:/tmp/ - 多个路径用英文冒号分隔（Linux/macOS）或分号（Windows）
- Web根目录（如
public/）和临时目录（/tmp）通常都要包含，否则日志写入、上传临时文件会失败 - 不要把父目录设宽泛，比如
/var/www/比/var/www/myapp/危险得多
宝塔面板里改完要重启PHP服务
勾选“防跨站攻击”只是修改了open_basedir值，但PHP-FPM进程不会自动重载配置。不重启，错误依旧存在，且你看到的报错还是旧规则下的路径限制。
- 错误典型提示：
Warning: require(): open_basedir restriction in effect. File(/www/wwwroot/example.com/config.php) is not within the allowed path(s): (/www/wwwroot/example.com/public/:/tmp/) - 确认是否生效：在PHP脚本中输出
echo ini_get('open_basedir'); - 别用
ini_set('open_basedir', ...)动态设置——它在大多数生产环境（尤其是FastCGI模式）下被禁用，且无法覆盖已设定的全局值
别依赖__FILE__或realpath()推导路径
当项目用符号链接部署（如/www/wwwroot/example.com/current → /www/wwwroot/example.com/releases/20260417），realpath(__DIR__ . '/../config')返回的是物理路径，而open_basedir只认你配置里的逻辑路径（比如/www/wwwroot/example.com/current/）。两者对不上，require就报错。
立即学习“PHP免费学习笔记（深入）”；
- 优先用
$_SERVER['DOCUMENT_ROOT']拼接路径，它由Web服务器注入，天然匹配虚拟路径 - 统一入口（如
public/index.php）下，所有请求的$_SERVER['SCRIPT_FILENAME']都指向它，不能用来判断业务模块真实位置 - 框架（Laravel/ThinkPHP）的自动路径解析若出错，先检查
open_basedir是否漏加了vendor/或storage/目录
file_get_contents('/proc/self/environ')或者去读/etc/passwd——这些路径根本不在你的业务逻辑里，却因第三方代码触发限制报错。得翻源码、打补丁、或临时放宽范围，而不是盲目删掉限制。 
