phpEnv默认不隔离上传目录与执行权限，易致shell.php被直接执行；须将deny all等禁止规则置于location ~ .php$之前，用location ^~ /upload/ + try_files $uri =404规范配置，禁用alias，且Windows文件权限无法替代Nginx层拦截。
phpEnv 是 Windows 下的集成环境，它把 Nginx、PHP、MySQL 打包在一起，但默认配置**不隔离上传目录与执行权限**——这意味着你一上传 shell.php 到 /upload/，只要 Nginx 配置没改，它就可能被直接执行。这不是 phpEnv 的 bug，而是它面向开发便捷性，默认没做生产级安全加固。
location 顺序错位导致 deny all 失效
在 phpEnv 的 Nginx 配置里（通常是 phpEnv\nginx\conf\vhost\your-site.conf），常见错误是把禁止规则写在了 location ~ \.php$ 块之后。Nginx 匹配 location 是按顺序“找第一个能匹配的”，一旦先命中宽泛的 location ~ \.php$，后面再写多少 deny all 都不会触发。
- 必须把禁止规则放在所有 PHP 处理块之前，比如放在
location / { ... }后面、location ~ \.php$前面 - 推荐用前缀匹配 + 正则组合：例如
location ^~ /upload/优先级高于正则，再嵌套location ~ \.(php|php5|phtml)$做精确拦截 - 别用
location ~* /upload/.*\.php$这种写法——它依赖完整路径匹配，容易被/upload/1.jpg/.php绕过
phpEnv 中 upload 目录的真实路径和 root 设置偏差
phpEnv 默认网站根目录是 phpEnv\www\your-site\，但你在配置中写的 /upload/ 是 URL 路径，不是磁盘路径。如果用了 alias 指向上传目录，又没配 internal，攻击者可能通过构造路径（如 /upload/../etc/passwd）读取系统文件；如果用了 root 却没加 try_files $uri =404，Nginx 可能 fallback 到全局 location ~ \.php$ 去执行。
- 上传目录统一用
root+try_files：location ^~ /upload/ { root "D:/phpEnv/www/your-site"; try_files $uri =404; } - 绝对不要在 upload 下用
alias，尤其不要写成alias D:/phpEnv/www/your-site/upload/;—— alias 对末尾斜杠和路径拼接极敏感，极易导致解析错位 - 确认
root路径末尾**没有斜杠**，且与实际磁盘路径完全一致（Windows 路径用正斜杠或双反斜杠均可，但别混用）
Windows 文件系统权限无法替代 Nginx 配置
有人以为给 D:\phpEnv\www\your-site\upload\ 目录右键 → “属性” → 去掉“执行权限”，就能防 PHP 执行。这是错的。Windows NTFS 没有“脚本执行位”概念，PHP 执行与否完全由 Nginx 是否转发给 php-fpm 决定，跟文件系统权限无关。
立即学习“PHP免费学习笔记（深入）”；
- phpEnv 启动的 Nginx 进程默认以当前 Windows 用户身份运行，不涉及
user nginx nginx;这类 Linux 权限控制，所以不能靠降权来补救 - 真正有效的只有 Nginx 配置层拦截：拒绝请求、返回 403/444、或用
return 404让路径根本不可达 - 测试时务必用浏览器直接访问
http://localhost/upload/test.php，而不是只看文件是否存在——返回源码或空白页都说明配置失败
最易被忽略的一点：phpEnv 的 Nginx 配置常含多个 include，比如引入 fastcgi.conf 或 vhost/*.conf，你的禁止规则如果写在被 include 的文件里，可能被后续加载的配置覆盖。动手前先用 nginx -t 检查语法，再用 nginx -T 输出完整生效配置，确认你的 location 确实出现在 location ~ \.php$ 之前。
