phpEnv启用Nginx后存在严重安全风险：autoindex默认开启、root/alias混用、未过滤../导致目录遍历漏洞；须关闭autoindex、禁用敏感路径、统一用root+try_files、设置cgi.fix_pathinfo=0并校验fastcgi_script_name。
phpEnv 默认不启用 Nginx，它主推 Apache；但如果你手动启用了 Nginx 模式（比如在 phpEnv 控制面板里切换了 Web 服务为 Nginx），那它的 Nginx 配置是极简且未加固的——autoindex 可能意外开启、root 和 alias 混用、没过滤 ../，目录遍历漏洞几乎必然存在。
确认当前用的是 Nginx 而非 Apache
很多人以为自己在“配 phpEnv 的 Nginx”，其实根本没切过去。phpEnv 启动后默认走 Apache，Nginx 是可选组件，需主动启用：
- 打开 phpEnv 控制面板 → 点击右上角「设置」→ 「Web 服务」→ 选择「Nginx」并重启服务
- 检查端口：Apache 默认占 80/443，Nginx 启动后应监听相同端口，且
netstat -ano | findstr :80显示进程名为nginx.exe而非httpd.exe - 访问
http://localhost/nginx_status（需已启用 stub_status）或看 phpEnv 托盘图标提示
没切成功就去改 Nginx 配置，纯属白忙。
关闭 autoindex 并禁用敏感路径匹配
phpEnv 自带的 Nginx 配置通常没关 autoindex，也缺乏基础路径过滤。直接在 server 块顶部加这两段：
立即学习“PHP免费学习笔记（深入）”；
location ~ /\.\./ {
deny all;
return 403;
}
location ~ /\.(ht|git|env|conf|log|bak|swp)$ {
deny all;
}
注意：~ /\.\./ 必须写在所有 location 前面，否则可能被更具体的规则（如 location /static）优先匹配而绕过；deny all 和 return 403 二者留一个即可，但建议都写，防某些旧版 nginx 对 deny 解析异常。
root 与 alias 别混用，优先用 root + try_files
phpEnv 的示例配置里常见这种危险写法：
location /uploads/ {
alias D:/phpEnv/www/uploads/;
}
它极易被 /uploads/../etc/passwd 绕过。正确做法是统一用 root，并靠 try_files 截断非法路径：
location /uploads/ {
root D:/phpEnv/www;
try_files $uri =404;
}
这样请求 /uploads/../etc/passwd 时，Nginx 拼出的物理路径是 D:/phpEnv/www/uploads/../etc/passwd，但 try_files 只查文件是否存在，不会自动解析路径别名——不存在就 404，不暴露结构。关键点：
-
root路径末尾不加斜杠，location末尾必须加（如/uploads/） - 绝对不要把
root指向D:/或C:/这类根分区 - Windows 路径中的反斜杠
\在 nginx.conf 里必须写成正斜杠/，否则配置校验失败
检查 php-fpm 解析范围是否越界
目录遍历不止发生在静态文件，PHP 动态解析同样危险。phpEnv 的 Nginx 默认 PHP 配置常漏掉 SCRIPT_FILENAME 校验：
location ~ \.php$ {
root D:/phpEnv/www;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}
问题在于 $document_root$fastcgi_script_name 会原样拼接，若请求 /test.php/../etc/passwd，可能触发 CVE-2013-4547 类漏洞。加固方式：
- 确保 php.ini 中
cgi.fix_pathinfo=0（phpEnv 默认是 1，必须手动改） - Nginx 里加正则限制
fastcgi_script_name只能含字母、数字、下划线和点：fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;前加一行：if ($fastcgi_script_name ~ "..") { return 403; } - 更稳妥的做法：把 PHP 处理限定在明确子目录，例如只允许
/api/和/wp/下的 PHP 执行，其他路径一律拒掉
Windows 下路径解析比 Linux 更松散，..、%2e%2e、..\/、甚至空格结尾的文件名都可能被绕过——别信“我本地测试没问题”，攻击者用 burp suite 发个 hex 请求就能验证。
