PHP 7.4 无法为文件夹设密码，所谓“加密码”实为 Web 服务器（Apache/Nginx）访问控制，PHP 仅负责登录逻辑；需配合 .htaccess/.htpasswd（Apache）或 Nginx location 配置、PHP 层 realpath+白名单校验及严格文件权限三重防护。
PHP 7.4 环境下文件夹不能靠 PHP 自身“设密码”
PHP 本身没有内置的“文件夹密码保护”功能。所谓“给文件夹加密码”，实际是 Web 服务器（如 Apache 或 Nginx）层面的访问控制，PHP 只负责生成或校验逻辑（比如登录表单），不参与底层路径拦截。直接在 PHP 脚本里写 if ($_POST['pwd'] === '123') 是无效且危险的——用户绕过表单、直接请求 /config/database.php 就能下载源码。
.htaccess + .htpasswd 仅适用于 Apache，且路径必须绝对正确
这是最常被抄错的环节：Apache 的 AuthUserFile 必须指向服务器上的**绝对路径**，不能用相对路径或 Web 可访问路径。例如：
AuthType Basic AuthName "Admin Area" AuthUserFile /var/www/html/admin/.htpasswd Require valid-user
常见错误包括：
-
AuthUserFile .htpasswd→ 服务器找不到文件，返回 500 错误 -
AuthUserFile /admin/.htpasswd→ 解析为根目录下的/admin/，而非当前目录 - 把
.htpasswd放在 Web 可访问路径下（如/admin/.htpasswd），导致被直接下载
安全做法是将 .htpasswd 移出 Web 根目录，比如放在 /etc/apache2/htpasswd/admin，并确保该路径对 Web 进程可读、对普通用户不可读。
立即学习“PHP免费学习笔记（深入）”；
Nginx 不支持 .htaccess，必须改 server 配置
Nginx 完全忽略 .htaccess 文件。想限制访问，必须编辑站点配置（如 /etc/nginx/sites-enabled/default），添加 location 块：
location ^~ /private/ {
auth_basic "Restricted";
auth_basic_user_file /etc/nginx/htpasswd/private;
}
关键点：
-
^~表示前缀匹配优先级高于正则，避免被后续location ~ \.php$覆盖 -
auth_basic_user_file同样需用绝对路径，且文件权限应为640，属主为root:www-data - 重启前务必运行
nginx -t验证语法，否则服务可能中断
PHP 层面真正要防的是 include 路径注入和目录遍历
即使 Web 服务器做了基础防护，PHP 脚本仍可能因编码疏忽导致任意文件读取。典型漏洞代码：
$file = $_GET['page']; include $file . '.php'; // 危险！可传入 ../../etc/passwd
安全替代方案：
- 用
basename()截断路径：include 'pages/' . basename($_GET['page']) . '.php'; - 白名单硬控制：
$allowed = ['home', 'about', 'contact']; if (!in_array($_GET['page'], $allowed, true)) die('404'); - 结合
realpath()校验根目录：$path = realpath('templates/' . $_GET['tpl']); if (strpos($path, '/var/www/app/templates/') !== 0) die('Access denied');
这些检查必须在每次 include、file_get_contents() 或 fopen() 前执行，不能只做一次“全局初始化”。
文件权限、Web 服务器配置、PHP 代码层校验，这三层缺一不可。最容易被忽略的是：Web 服务器配置变更后没 reload，或 PHP 中用了 ../ 却没做 realpath() 归一化 —— 这类细节一旦漏掉，前面所有密码和权限设置都形同虚设。
