phpEnv 不支持直接配置 IP 黑白名单，需通过 Apache 的 .htaccess、Nginx 的 allow/deny 指令或 PHP 代码层手动实现，且需注意 IP 获取可靠性及配置生效条件。
phpEnv 不支持直接配置 IP 黑白名单——它本身只是 Windows 下的 PHP 运行环境套件（含 Apache + MySQL + PHP），没有内置访问控制面板或图形化 IP 管理功能。所有 IP 限制必须通过其底层组件（Apache 或 Nginx）的配置文件，或 PHP 代码层手动实现。
Apache 环境下用 .htaccess 配置白名单（最常用）
phpEnv 默认使用 Apache，且允许 .htaccess 生效（需确认 AllowOverride All 已启用）。这是无需重启服务、运维友好的方式：
- 在站点根目录（如
D:\phpEnv\www\myapp\）新建或编辑.htaccess - 写入以下内容（示例：仅允许可信内网和单个公网 IP）：
Order Deny,Allow Deny from all Allow from 192.168.1.0/24 Allow from 203.0.113.42
- 注意：
Order Deny,Allow必须显式声明，否则规则不生效；Deny from all要放在Allow之前 - 若遇到 500 错误，检查 Apache 是否加载了
mod_authz_host（phpEnv 通常已启用）
Nginx 环境下在 server 块中用 allow/deny（高性能首选）
如果你在 phpEnv 中切换过 Web 服务器为 Nginx（非默认），则必须修改对应站点的 Nginx 配置文件（路径类似 D:\phpEnv\nginx\vhosts\myapp.conf）：
- 在
server块内、任意location外添加规则，例如限制整个站点：allow 10.0.0.5; allow 172.16.0.0/12; deny all;
- 若只限制后台路径（如
/admin或/wp-login.php），需单独写location块：location ~ ^/(admin|wp-login\.php) { allow 192.168.5.100; deny all; # 注意：此处仍需保留 fastcgi_pass 等 PHP 解析配置，否则 502 } - 改完后必须点击 phpEnv 主界面的【Nginx】→【重载配置】，不是“重启”
-
allow/deny按顺序匹配，第一条命中即终止；deny all必须放在最后才能起“兜底拒绝”作用
PHP 层手动校验（兼容所有环境，但有性能开销）
当无法修改服务器配置（如共享主机、临时调试），可在入口文件（如 index.php 或接口脚本顶部）插入判断逻辑：
立即学习“PHP免费学习笔记（深入）”；
- 用
$_SERVER['REMOTE_ADDR']获取真实客户端 IP（注意：若前端有反代，需结合X-Forwarded-For，但 phpEnv 本地环境一般无此问题） - 支持通配符和 CIDR 的轻量校验函数示例：
$allowed = ['127.0.0.1', '192.168.*', '203.0.113.0/24']; $client = $_SERVER['REMOTE_ADDR'] ?? ''; <p>function ip_in_whitelist($ip, $rules) { foreach ($rules as $rule) { if (strpos($rule, '/') !== false) { [$subnet, $mask] = explode('/', $rule); if ((ip2long($ip) & ((-1 << (32 - (int)$mask))) === ip2long($subnet)) return true; } elseif (strpos($rule, '<em>') !== false) { $pattern = str_replace('</em>', '\d+', preg_quote($rule, '/')); if (preg_match('/^' . $pattern . '$/', $ip)) return true; } elseif ($ip === $rule) return true; } return false; }</p><p>if (!ip_in_whitelist($client, $allowed)) { http_response_code(403); exit('Forbidden'); } - 该逻辑会增加每次请求的 PHP 执行时间，不适合高频接口；且不能阻止恶意扫描器对静态资源（如
.js、.css）的访问
真正容易被忽略的是 IP 获取的可靠性：phpEnv 本地运行时，$_SERVER['REMOTE_ADDR'] 通常是准确的；但一旦加了代理、CDN 或 WSL 网络桥接，这个值就可能变成 127.0.0.1 或网关地址——此时必须统一从 X-Forwarded-For 解析，并严格校验来源可信性，否则白名单形同虚设。
