phpEnv 默认允许局域网访问，必须手动配置Web服务器限制：Nginx推荐改为listen 127.0.0.1:8080；Apache需启用mod_authz_host并配置Require local；PHP层防护无效，须在网络层阻断连接。
phpEnv 是 Windows 下轻量级 PHP 本地开发环境，本身不自带 Web 服务器权限隔离机制，禁止外部访问必须手动干预，否则局域网内其他设备可通过 http://192.168.x.x:8080 直接访问你的项目——这在调试阶段极危险，尤其当你用了 phpinfo()、数据库配置或测试接口时。
确认 phpEnv 使用的是哪个 Web 服务器
phpEnv 默认可选 Apache 或 Nginx（取决于你安装的版本），不同服务器禁外网方式完全不同：
- Apache：靠
.htaccess或主配置中的Require local控制；但 phpEnv 的 Apache 通常未启用mod_rewrite或mod_authz_host，.htaccess很可能被忽略 - Nginx：靠
listen指令绑定地址，最可靠；phpEnv 的 Nginx 配置文件一般位于phpEnv\nginx\conf\nginx.conf或站点 conf 文件中 - 无论哪种，
php.ini里的设置（如disable_functions）不影响网络层访问控制，别在这儿浪费时间
修改 Nginx listen 地址（推荐，一劳永逸）
如果你用的是 Nginx（多数新版 phpEnv 默认），直接改监听地址是最干净的办法。打开 phpEnv\nginx\conf\nginx.conf，找到类似这一行：
listen 8080;
改成：
立即学习“PHP免费学习笔记（深入）”；
listen 127.0.0.1:8080;
或者更严格（避免 IPv6 泄露）：
listen 127.0.0.1:8080 ssl http2;
改完保存，重启 phpEnv 的 Nginx 服务（点面板上的「Restart Nginx」按钮或命令行执行 nginx -s reload）。此时 curl http://localhost:8080 仍通，但 curl http://192.168.1.100:8080 会直接连接拒绝。
Apache 下临时封掉非本地请求（仅限已启用 mod_authz_host）
Apache 在 phpEnv 中常以简化模式运行，httpd.conf 里默认没开访问控制模块。先确认是否启用：
- 打开
phpEnv\apache\conf\httpd.conf - 搜索
mod_authz_host，确保这行没被注释：LoadModule authz_host_module modules/mod_authz_host.so - 再找你的虚拟主机配置段（通常在末尾的
<VirtualHost *:8080>），在里面加：
<Directory "D:/phpEnv/www">
Require local
</Directory>
注意路径要和你实际的网站根目录一致。改完重启 Apache。如果重启失败，大概率是模块没加载——这时别硬调，切回 Nginx 方案更省事。
别信 HTTP_REFERER 或 define('IN_SYS') 这类 PHP 层面的“禁止”
这些只是代码逻辑判断，对网络层访问毫无约束力：
-
$_SERVER['HTTP_REFERER']可被任意伪造，浏览器插件两秒就能绕过 -
define('IN_SYS', TRUE)只防 include，不防直接 GET 请求，攻击者输入http://localhost/config.php照样能读到数据库密码 - 用
header('HTTP/1.0 403 Forbidden')更是掩耳盗铃——响应都发出去了，敏感信息早被下载完毕
真正的禁止，是让 TCP 连接在三次握手阶段就被拒绝，而不是等 PHP 解析完脚本再吐个 403。这点最容易被忽略，也最关键。
