敏感信息暴露风险存在时，应采取五项防护措施：一、将配置文件移出Web根目录；二、用服务器规则禁止敏感文件访问；三、以环境变量替代硬编码凭证；四、关闭错误回显并隔离日志路径；五、对静态配置文件实施AES-256-CBC加密存储。
如果您正在搭建PHP网站，但发现config.php、database.php等配置文件或其中的数据库用户名、密码等凭证可能因服务器解析失败、路径猜测或部署疏忽而被直接下载或原样输出，则说明敏感信息暴露风险已实际存在。以下是针对该问题的多种防护措施：
一、将配置文件物理移出Web根目录
Web服务器（如Apache或Nginx）默认允许HTTP请求访问其DocumentRoot或root目录下的所有可读文件。一旦PHP模块异常或后缀未被正确解析，config.php等文件将以纯文本形式返回，导致数据库凭证完全裸露。最根本的防护是让该文件从操作系统层面无法被Web服务进程以外的任何HTTP请求触达。
1、设定应用根目录为/var/www/myapp/（不可通过URL访问），Web服务器root仅指向/var/www/myapp/public/。
2、将config.php存放于/var/www/myapp/config/config.php（与public同级的上层目录）。
立即学习“PHP免费学习笔记（深入）”；
3、在public/index.php中使用绝对路径加载：require __DIR__ . '/../config/config.php';。
4、确认Web服务器对该上层目录无URI映射能力——浏览器访问https://yoursite.com/config/config.php必须返回404而非源码。
二、通过Web服务器规则强制禁止敏感文件访问
即使目录结构正确，仍需防止攻击者通过扫描常见路径（如/.env、/config/database.php）触发意外响应。必须在服务器层显式拦截所有高危扩展名的HTTP请求，不依赖PHP解析逻辑。
1、Apache环境下，在虚拟主机配置或项目根目录的.htaccess中添加：<FilesMatch "\.(env|ini|dist|bak|log|sql|yml|yaml|xml|json|conf|cfg|inc|php~|swp)$">Order Allow,Deny</FilesMatch>。
2、Nginx环境下，在server块内添加：location ~ \.(env|ini|dist|bak|log|sql|yml|yaml|xml|json|conf|cfg|inc|php~|swp)$ { deny all; }。
3、特别注意：.inc文件若未被PHP引擎处理，将直接以明文返回，必须列入拦截列表。
4、重启Web服务并手动测试访问/config.php和/.env，验证响应状态码为403或404。
三、用环境变量替代配置文件中的硬编码凭证
消除配置文件本身的存在，即可彻底规避其被读取的风险。环境变量由操作系统或容器运行时注入，PHP进程可读，但无法通过HTTP请求获取，且不随代码提交至版本库。
1、在Linux系统中，于/etc/environment添加：
DB_HOST="127.0.0.1"<br>DB_USER="app_rw"<br>DB_PASS="K8#mQx@2vL9"。
2、确保Web服务器（如PHP-FPM）继承该环境变量；Apache需在虚拟主机中用SetEnv或PassEnv显式传递。
3、在PHP中统一使用getenv('DB_PASS')或$_ENV['DB_PASS'] ?? ''读取，禁用任何file_get_contents('config.php')类动态加载。
4、上线前必须删除所有.env文件，并禁用phpdotenv在生产环境的自动加载逻辑。
四、关闭错误回显并隔离日志存储路径
PHP错误页面常包含完整文件路径、数据库连接字符串及堆栈中暴露的变量值。一次500错误即可泄露/var/www/myapp/config/database.php位置及其中的$db_password值。防护核心是切断错误信息向浏览器的输出通道。
1、在php.ini中设置：
display_errors = Off<br>log_errors = On<br>error_log = /var/log/php/app_error.log。
2、确认/var/log/php/目录权限为750，属主为www-data:adm，且error_log路径不在任何Web可访问URI下。
3、在代码中禁用运行时覆盖：删除所有ini_set('display_errors', '1')和echo $e->getMessage()语句。
4、编写测试脚本<?php trigger_error('leak test', E_USER_WARNING); ?>，访问后页面必须为空白或仅显示白屏，不可见黄色警告文字。
五、对静态配置文件实施AES-256-CBC加密存储
当合规要求或遗留架构无法移除配置文件时，必须使其内容即使被获取也无法直接解读。采用强对称加密，密钥与密文严格分离，且密钥不得出现在Web目录中。
1、生成256位密钥并存于Web根目录外：openssl rand -base64 32 > /secure/app_key.bin，设权限chmod 600 /secure/app_key.bin。
2、编写加密脚本，读取原始配置数组，使用openssl_encrypt()生成密文：
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length('aes-256-cbc'));<br>$encrypted = openssl_encrypt(serialize($config), 'aes-256-cbc', file_get_contents('/secure/app_key.bin'), 0, $iv);<br>file_put_contents('/config/config.enc', base64_encode($iv . $encrypted));。
3、在应用启动入口处解密：
$data = base64_decode(file_get_contents('/config/config.enc'));<br>$iv = substr($data, 0, 16);<br>$cipherText = substr($data, 16);<br>$config = unserialize(openssl_decrypt($cipherText, 'aes-256-cbc', file_get_contents('/secure/app_key.bin'), 0, $iv));。
4、密钥文件路径必须在PHP open_basedir限制范围内，且不得被任何Web路由匹配到。
