phpenv仅管理PHP版本切换，不干预HTTP请求处理，因此无法禁止目录访问；真正的访问控制必须由Web服务器（如Nginx用location ^~ /config/ { return 403; }）或PHP运行时（如open_basedir）实现。
phpenv 本身不处理 Web 目录访问控制，它只管理 PHP 版本切换 —— 所有“禁止访问目录”的需求，必须由 Web 服务器（Apache/Nginx）或 PHP 运行时层（如 open_basedir）完成。
为什么 phpenv 不能禁止目录访问
phpenv 是一个 Shell 工具，作用域仅限于终端环境：它修改 $PATH、切换 php 可执行文件软链接、设置环境变量。它不监听 HTTP 请求，不解析 URL，也不干预 Web 服务器行为。试图在 phpenv 配置里找“禁止访问 config/”选项，就像在汽车钥匙上找红绿灯控制器 —— 方向错了。
- 常见误解：
phpenv local 8.3后网站突然能访问config/database.php？不是 phpenv 开了后门，是你的 Web 根目录设错了，或者没禁用目录索引 - 真实风险点：本地开发用
php -S localhost:8000 router.php启动时，php -S默认无任何访问限制，application/和runtime/全部裸奔 - 关键区分：phpenv 管“哪个 PHP 在跑”，Web 服务器管“哪些路径能被请求”
Web 服务器层：Nginx 精确屏蔽 ThinkPHP 敏感目录
Nginx 没有 .htaccess，所有规则写在 server 块里。用正则匹配（location ~ ^/config/）是典型错误——它会被更靠前的通用 try_files 规则覆盖，导致绕过。必须用 ^~ 前缀做前缀精确匹配，且顺序要放在所有 rewrite 规则之前。
正确配置示例（放在 server 块顶部）：
立即学习“PHP免费学习笔记（深入）”；
location ^~ /application/ { return 403; }
location ^~ /config/ { return 403; }
location ^~ /runtime/ { return 403; }
location ^~ /common/ { return 403; }
location ^~ /extend/ { return 403; }
- 别写成
location ~ \.php$一类的正则块来拦目录 —— 正则优先级低于^~，但高于=，容易被已有规则吞掉 - ThinkPHP 6+ 默认目录名是
app而非application，检查你项目实际结构，写错等于白配 -
return 403比deny all更直接，不依赖allow/deny指令集，兼容性更好
PHP 运行时层：用 open_basedir 锁死文件系统边界
即使 Web 服务器漏放了一个请求，open_basedir 能在 PHP 解析阶段二次拦截。它强制所有文件操作（file_get_contents、include、fopen）只能在指定路径内进行。
在 php.ini 或站点 fpm 配置中设置：
php_admin_value[open_basedir] = /var/www/myproject/public/:/var/www/myproject/runtime/:/var/www/myproject/logs/
- 路径末尾必须加
/，否则会被当作前缀匹配（比如/var/www会允许访问/var/www_hacked） - 务必包含
public/（入口目录）和runtime/（日志缓存目录），否则正常功能会报错 - 不要把
config/加进去 —— 它不该被 PHP 脚本直接读取（ThinkPHP 通过自动加载机制加载，不走文件函数）；加进去反而可能暴露路径结构 - 如果用了 Composer，
vendor/通常也要加入，否则require autoload.php会失败
本地开发最易忽略的陷阱：php -S 的裸奔模式
很多开发者用 php -S localhost:8000 public/router.php 启动本地服务，却不知道这个内置服务器默认不识别任何安全规则。只要 URL 路径存在对应文件，就直接返回内容 —— http://localhost:8000/config/database.php 看得一清二楚。
- 解决方法只有两个：
router.php必须显式拦截敏感路径，例如：
<?php
if (preg_match('/^(application|config|runtime|common|extend)\//', $_SERVER['REQUEST_URI'])) {
http_response_code(403);
exit('Forbidden');
}
// 后续转发到 public/ 下静态资源或入口逻辑
- 或者，根本别用
php -S跑完整项目 —— 仅用于快速验证单个脚本；正式开发请用 Docker + Nginx 或 Valet/MAMP - 检查
php -S启动命令是否漏掉了router.php参数：没有它，连基础路由都没有，更别说安全控制
真正的防护不在版本管理工具里，而在你每次 reload Nginx 配置、每次确认 open_basedir 路径、每次删掉 php -S 启动时多写的那几行路由判断里。
