XAMPP默认不启用open_basedir，因其定位为开箱即用的本地开发环境，php.ini中该配置被注释或留空，使PHP可访问整个文件系统；正确设置需在php.ini中取消注释并填入含末尾斜杠的完整路径（如"C:/xampp/htdocs/myproject/:C:/xampp/tmp/"），保存后重启Apache。
直接结论：XAMPP 默认不启用 open_basedir，本地开发时必须手动开启并限定到项目目录 + /tmp/，否则等同于裸奔——哪怕只是写个 demo，file_get_contents('../../etc/passwd') 也能跑通。
为什么 XAMPP 的 open_basedir 默认是空的？
XAMPP 定位是“开箱即用”的本地开发环境，不是生产服务器。它的 php.ini 里 open_basedir 被注释或留空，意味着 PHP 进程能访问整个文件系统。这方便调试，但也让任何包含漏洞的代码（比如未过滤的 include、file_get_contents）立刻变成本地提权入口。
常见错误现象：
- 改了
php.ini却没重启 Apache，配置不生效 - 只写了
open_basedir = C:/xampp/htdocs/myproject，漏掉末尾斜杠，结果C:/xampp/htdocs/myproject_config也被放行 - 没加
/tmp/（Windows 下是C:/xampp/tmp/），导致上传失败、session 写入报错
在 XAMPP 中正确设置 open_basedir 的三步操作
路径以 Windows 为例（Linux/macOS 把盘符和反斜杠换成正斜杠即可）：
立即学习“PHP免费学习笔记（深入）”；
- 打开
C:/xampp/php/php.ini，搜索open_basedir - 取消注释（删掉前面的分号），填入完整路径：
open_basedir = "C:/xampp/htdocs/myproject/:C:/xampp/tmp/" - 保存后，在 XAMPP 控制面板中重启 Apache（不是仅重启 PHP）
注意点：
- 多个路径必须用英文分号
;分隔（Windows）或英文冒号:（Linux/macOS） - 每个路径结尾必须带斜杠
/，否则前缀匹配会误放行相邻目录 - 不要用
.代替当前目录——它在 XAMPP 的 Apache 模块下行为不稳定，且无法跨 VirtualHost 隔离
open_basedir 对 exec() 和临时文件的影响
启用 open_basedir 后，exec('curl') 可能静默失败，不是因为函数被禁用，而是子进程找不到 curl.exe 或无法写入临时文件。
- 确保
open_basedir包含系统临时目录：C:/xampp/tmp/（Windows）或/tmp/（Linux/macOS） - 如果调用外部命令，优先用绝对路径：
exec('C:/xampp/htdocs/myproject/vendor/bin/phpunit') - 检查
disable_functions是否禁用了exec、shell_exec等——open_basedir不管这事，但它俩常一起出问题
开发中容易忽略的兼容性细节
ThinkPHP、Laravel 等框架默认把入口 index.php 放在 public/，但核心代码在上层目录。若你设 open_basedir = C:/xampp/htdocs/myproject/public/，框架直接报错。
- 正确做法是把整个项目根目录加进去：
C:/xampp/htdocs/myproject/ - 如果项目结构强制要求入口在
public，那就得加两段：C:/xampp/htdocs/myproject/public/;C:/xampp/htdocs/myproject/ - 别为了省事写成
C:/xampp/htdocs/——这等于把所有 XAMPP 站点都暴露给任意一个项目
最麻烦的是：有些扩展（如某些 Composer 自动加载器）会在运行时动态拼接路径，而 open_basedir 是硬限制，不识别逻辑路径映射。一旦报错，得顺着 Warning 里的实际文件路径反推该加哪段目录。
