open_basedir 是文件系统访问围栏而非上传开关，仅限制上传后PHP对文件的读写包含操作；需显式加入临时目录、目标目录及解压路径等真实路径，配置优先级为php-fpm pool > php.ini > .user.ini，PHP 8.1+禁用ini_set()设置。
open_basedir 不是上传开关，而是文件系统访问围栏
它不控制 upload_max_filesize 或 post_max_size，也不决定文件能不能传上来；它只管“上传成功后，PHP 脚本能不能读、写、包含那个文件”。比如 move_uploaded_file() 后立刻 file_get_contents() 读取临时文件，或 include 上传的 PHP 模块——这些操作全受 open_basedir 约束。
设错最常见现象：上传成功但后续处理报 Warning: open_basedir restriction in effect，或直接 500；你以为是权限问题，其实是路径没放进白名单。
- 必须显式加入上传临时目录（
/tmp是常见值，但实际取决于upload_tmp_dir配置） - 上传目标目录（如
/var/www/html/uploads）也要在列表里，否则move_uploaded_file()会失败 - 如果用框架自动解压/解析上传的 ZIP/PHAR，还要把解压路径、
phar://协议支持所需路径一并加入
PHP 8.1 下生效的三种配置方式及优先级
PHP-FPM 环境中，open_basedir 的生效顺序固定：php-fpm pool 配置 > php.ini > .user.ini；运行时 ini_set() 在 PHP 8.1+ 已被禁用（报 ini_set(): open_basedir is a PHP_INI_SYSTEM directive），别试。
-
php-fpm.conf或 pool 文件（如/etc/php/8.1/fpm/pool.d/www.conf）里写：php_admin_value[open_basedir] = /var/www/html:/tmp:/var/lib/php/sessions -
php.ini中设：open_basedir = /var/www/html:/tmp，改完必须systemctl restart php8.1-fpm（reload 不生效） -
.user.ini只在 CGI/FastCGI 场景下有效，且需确保user_ini.filename = ".user.ini"和user_ini.cache_ttl = 300已启用；内容写成：open_basedir = /var/www/html:/tmp
Apache php_admin_value 在 PHP-FPM 下完全无效；Nginx 的 fastcgi_param PHP_VALUE 方式在 PHP 8.1+ 默认被禁用（因安全风险），除非你明确在 php-fpm.conf 中启用了 security.limit_extensions 并信任该参数来源。
立即学习“PHP免费学习笔记（深入）”；
路径末尾斜杠和软链接是两个高频翻车点
写成 /var/www/html/（带尾部斜杠）≠ /var/www/html（不带）。前者表示“仅此目录及其子目录”，后者表示“以该字符串为前缀的所有路径”——比如 /var/www/html_bak 也会被允许，这显然不是你想要的隔离效果。
更隐蔽的是软链接：假设 /var/www/html/uploads 是个指向 /data/uploads 的符号链接，而你只加了 /var/www/html 到 open_basedir，那么所有对 /data/uploads/* 的访问都会被拒绝，因为 open_basedir 检查的是真实路径（realpath 后的结果），不跟随 symlink。
- 检查真实路径用：
readlink -f /var/www/html/uploads - 若存在软链接，必须把目标路径（如
/data/uploads）也加进open_basedir列表 - 用
ini_get('open_basedir')在脚本里打印当前生效值，比盲猜配置更可靠
Composer、Session、Log 目录漏加就会崩
一个典型的 PHP 8.1 应用上传流程可能涉及：接收文件 → 存临时目录 → 移动到 uploads → 写入数据库 → 记录日志 → 触发 Composer 自动加载新类。每个环节都可能触发文件操作，漏掉任意一环就出错。
-
/tmp必须加：几乎所有上传临时文件都落这里（除非你改了upload_tmp_dir） -
/var/lib/php/sessions或自定义 session.save_path：否则session_start()失败，导致登录态丢失 -
/var/www/html/vendor（或对应路径）：如果上传后要动态require新模块，autoload.php 就得能读 vendor - 日志目录（如
/var/log/myapp）：如果上传逻辑里有error_log()或自定义 logger
最稳妥的做法是先开宽一点（比如加 /tmp:/var/log:/proc），再根据错误日志逐个收紧；别一上来就只写项目根目录，那等于给上传功能上锁。
