PHP内置服务器（php -S）不支持原生IP白名单，需通过router.php脚本校验$_SERVER['REMOTE_ADDR']是否为'127.0.0.1'或'::1'，并绑定127.0.0.1:8000启动，才能安全限制仅本机访问。
phpEnv 是 Windows 下的轻量级 PHP 本地开发环境，本身不带 Web 服务器模块（如 Apache/Nginx），而是依赖内置的 php -S 内置服务器或可选集成的 Nginx。它没有原生的 IP 访问控制界面或配置项，所有 IP 限制必须手动介入底层机制实现——否则默认监听 0.0.0.0:8000，局域网内任意设备都能访问你的本地站点，存在敏感文件泄露风险。
php -S 内置服务器怎么加 IP 白名单
phpEnv 默认启用的是 PHP 自带的命令行内置服务器（php -S），它**不支持任何内置的 allow/deny 配置**，也不能读取 .htaccess。唯一可控的方式是写一个路由脚本，在请求进入前做 IP 检查。
- 新建一个
router.php文件，放在项目根目录 - 内容示例（只允许本机访问）：
<?php
$clientIp = $_SERVER['REMOTE_ADDR'];
$allowedIps = ['127.0.0.1', '::1']; // IPv4 + IPv6 本机
<p>if (!in_array($clientIp, $allowedIps)) {
http_response_code(403);
exit('Forbidden');
}</p><p>// 继续交由内置服务器处理静态资源和 PHP 路由
if (preg_match('/.(?:png|jpg|jpeg|gif|css|js|ico|txt|xml|woff|woff2)$/', $_SERVER["REQUEST_URI"])) {
return false; // 静态资源直接返回
}
include <strong>DIR</strong> . '/index.php'; // 或你实际的入口文件
- 启动命令要显式指定该 router：
php -S 127.0.0.1:8000 router.php（注意：别用0.0.0.0） - 如果改用
127.0.0.1:8000，系统防火墙或路由器通常不会转发该地址，能天然阻断外部访问
phpEnv 集成 Nginx 时如何配置 location 级 IP 限制
部分 phpEnv 版本支持切换为 Nginx 模式（路径类似 phpenv/nginx/conf/nginx.conf）。这时你可以像生产环境一样，在 location 块中使用 allow/deny，但要注意两个关键点：
- Nginx 的
allow/deny必须按顺序写，且以deny all收尾，否则规则无效 - 如果你的 phpEnv 前面还套了代理（比如 WSL2、Docker 或某加速工具），
$remote_addr可能是代理 IP，需配合real_ip_header和set_real_ip_from修正
例如限制后台仅本机可访问 /admin/ 和 /wp-login.php：
立即学习“PHP免费学习笔记（深入）”；
location ~ ^/(admin|wp-login\.php) {
allow 127.0.0.1;
deny all;
<pre class="brush:php;toolbar:false;"># 若启用了 fastcgi，此处必须重复包含 PHP 解析配置
include fastcgi_params;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;}
改完后需重启 Nginx：phpenv\nginx\nginx.exe -s reload（路径以你实际安装位置为准）
$_SERVER['REMOTE_ADDR'] 在 phpEnv 里为什么总是 127.0.0.1
这是最常被忽略的问题：无论你从哪台机器访问 phpEnv 启动的服务，$_SERVER['REMOTE_ADDR'] 几乎总是 127.0.0.1。原因很简单——phpEnv 的内置服务器默认绑定在 127.0.0.1，而 Windows 下 localhost 解析走的是回环接口，根本不会经过网络栈；即使你手动改成 0.0.0.0，很多杀毒软件或 Hyper-V 虚拟网卡也会劫持连接并重写源地址。
- 不要依赖
HTTP_X_FORWARDED_FOR：php -S 不解析请求头，这个字段永远为空或不可信 - 不要尝试用
getenv('HTTP_X_REAL_IP')：没代理时该变量不存在，直接触发 notice 错误 - 真正可靠的判断方式只有两个：绑定
127.0.0.1+ 检查$_SERVER['REMOTE_ADDR'] === '127.0.0.1'，或改用 Nginx 并确保它没被中间层污染
本地环境的安全盲区往往比线上更危险——因为没人会审计它、没人会监控它、也没人会更新它。IP 限制只是第一道门，但如果你连这道门都设在虚掩状态，那 config.php 里的数据库密码、.env 里的 API Key，可能已经躺在邻居电脑的浏览器历史里了。
