phpEnv不提供图形化IP白名单开关，所有限制必须手动配置Nginx/Apache或PHP入口逻辑；Nginx层allow/deny最高效，需写在server块内location外，注意顺序与HTTPS端口同步，PHP层校验须确保REMOTE_ADDR为真实IP。
phpEnv 不提供图形化 IP 白名单开关，所有限制必须手动配置 Web 服务器层（Nginx 或 Apache）或在 PHP 入口逻辑中实现；直接改 php.ini 或 phpEnv 面板设置无效。
Nginx 配置白名单（推荐，高效且不进 PHP）
这是最常用、最安全的方式：请求在到达 PHP 解析器前就被 Nginx 拦截，零性能损耗。
- 进入 phpEnv 站点配置目录，通常为
C:\phpEnv\www\your-site\conf\nginx.conf（Windows）或/usr/local/phpenv/www/your-site/conf/nginx.conf（Linux） - 在
server块内、任意location外添加规则（不要写在location ~ \.php$里面）：
allow 192.168.1.100; allow 2001:db8::1; deny all;
- 注意顺序：
allow必须在deny all之前，否则全部被拒 - IPv6 地址无需方括号包裹（phpEnv 默认 Nginx ≥1.20，支持原生格式）
- 若站点启用了 HTTPS，确保该段配置同时出现在
listen 443 ssl对应的server块中
Apache .htaccess 方式（仅限 phpEnv 切换为 Apache 模式）
phpEnv 支持切换 Web 服务器，但默认是 Nginx；若已切至 Apache，则可用此方式，无需重启服务。
- 在站点根目录（如
C:\phpEnv\www\your-site\）新建或编辑.htaccess - 确保启用重写引擎，并使用
Require指令（Apache 2.4+ 语法）：
RewriteEngine On Require ip 192.168.1.100 Require ip 10.0.0.0/8
- 不支持
Order Allow,Deny这类旧语法（phpEnv Apache 版本通常 ≥2.4） - 多条
Require是“或”关系，满足任一即放行 - 若规则不生效，检查 Apache 是否加载了
mod_authz_core和mod_access_compat
PHP 层校验真实 IP（需防代理头伪造）
适用于需动态读取数据库白名单、或临时加一层兜底防护的场景；但必须确认 $_SERVER['REMOTE_ADDR'] 是真实客户端 IP，否则极易绕过。
立即学习“PHP免费学习笔记（深入）”；
- phpEnv 默认未配置
real_ip_header，所以$_SERVER['REMOTE_ADDR']就是 Nginx 的直连 IP（即反向代理自身），不是用户真实 IP - 若你已在 Nginx 配置中加了
set_real_ip_from和real_ip_header X-Real-IP，那 PHP 中的$_SERVER['REMOTE_ADDR']才可信 - 否则，应避免使用
$_SERVER['HTTP_X_FORWARDED_FOR']—— 它可被任意伪造，例如发个请求头X-Forwarded-For: 1.2.3.4就能绕过白名单 - 入口文件（如
index.php）顶部加判断示例：
$allowed = ['127.0.0.1', '192.168.1.100'];
$ip = $_SERVER['REMOTE_ADDR'] ?? '';
if (!in_array($ip, $allowed)) {
http_response_code(403);
exit('Forbidden');
}
常见错误：为什么白名单总不生效？
多数失效不是代码写错，而是环境认知偏差。
-
deny all写在allow前面 → 所有请求立即匹配 deny，后续 allow 不执行 - HTTPS 站点只在 80 端口
server块里配了白名单，443 块里没复制 → HTTPS 请求全被拒 - 用
if ($remote_addr = "...") { return 403; }替代allow/deny→ Nginx 的if在 location 外不可靠，且性能差 - 在 phpEnv 的「PHP 设置」页面里找「IP 限制」选项 → 不存在，那是误导性界面元素
- 把白名单硬编码在
index.php里又上传到 GitHub → IP 泄露风险极高
真正关键的是明确当前流量路径：有没有 CDN、WAF、Nginx 反向代理？每层是否透传并校验了真实 IP？没理清这个，任何白名单都形同虚设。
