PHP 8.5.5 默认禁用所有非核心扩展，必须手动启用 openssl、mbstring 和 fileinfo 才能运行 Composer 与主流框架；还需确认 CLI 与 FPM 加载同一 php.ini、正确设置 extension_dir、分别配置 opcache.enable 与 opcache.enable_cli，并严格校验 disable_functions 等安全项。
PHP 8.5.5 不是官方正式版，目前（2026年6月）仍属维护分支或第三方打包版本；但如果你已通过 ondrej/php PPA 或手动编译安装了 php8.5.5，它确实能跑，只是默认配置几乎等于“裸机”——php -v 成功，composer install 或 laravel new 却大概率失败。
必须启用的三个扩展：否则 Composer 和框架直接报错
PHP 8.5.5 默认禁用所有非核心扩展。不手动打开，连 composer create-project 都卡在 “The openssl extension is required” 或 “mbstring extension is missing”。
-
extension=openssl—— HTTPS 请求、Packagist 下载、JWT 签名都依赖它；漏掉就无法拉包 -
extension=mbstring—— Laravel、Symfony、Yii2 的字符串处理底层强依赖；没它会触发Fatal error: Uncaught Error: Call to undefined function mb_strlen() -
extension=fileinfo—— 文件上传 MIME 检测、Laravel 的UploadedFile::guessExtension()必需；缺位会导致上传验证失败
别只改 php.ini 就完事：确认 extension_dir 指向正确路径（如 /usr/lib/php/20240829 或 D:/Develop/php-8.5.5/ext），再运行 php -m | grep -E "^(openssl|mbstring|fileinfo)$" 验证是否真加载。
opcache 启用但不能只写 opcache.enable=1
PHP 8.5.5 内置 opcache，但默认仍是关闭状态。仅设 opcache.enable=1 在 CLI 下生效，Web SAPI（如 FPM）可能仍不启用——因为 opcache.enable_cli 和 opcache.enable 是两个独立开关。
立即学习“PHP免费学习笔记（深入）”；
- 开发环境：加
opcache.revalidate_freq=0，但必须配opcache.validate_timestamps=1，否则改代码不生效 - 生产环境：设
opcache.revalidate_freq=60，并确保opcache.validate_timestamps=1（否则改文件完全无效） - 内存至少设
opcache.memory_consumption=256；低于 128M 在中等项目里会频繁淘汰，反而拖慢响应 - 检查是否生效：访问
phpinfo()页面或执行php -r "print_r(opcache_get_status()['opcache_enabled']);"
php.ini 路径和权限常被忽略的硬伤
装完发现 php --ini 显示的配置文件路径和你编辑的不是同一个——这是最常见“设了等于没设”的原因。
- CLI 和 FPM 使用不同配置：运行
php --ini查 CLI 路径，php-fpm -t或phpinfo()查 FPM 实际加载的php.ini - Linux 下若用
apt install php8.5，主配置通常在/etc/php/8.5/cli/php.ini和/etc/php/8.5/fpm/php.ini，两个都得改 - Windows 下解压版若复制的是
php.ini-development，但没重命名为php.ini，PHP 就自动 fallback 到内置默认值 - FPM 进程若以
root启动，却读取了/etc/php/8.5/fpm/php.ini（权限为 600），而该文件属主不是root，会导致启动失败且无明确报错
安全底线配置：不设等于裸奔
PHP 8.5.5 没新增高危函数，但攻击链没变——disable_functions 漏一个，open_basedir 不设，日志一泄露就全盘皆输。
-
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chown,chgrp,curl_exec——curl_exec容易漏，它是 SSRF 入口 -
open_basedir必须在 FPM pool 配置里设（如/etc/php/8.5/fpm/pool.d/www.conf），写成php_admin_value[open_basedir] = /var/www/myapp/:/tmp/；只在php.ini里设对 FPM 无效 -
display_errors = Off和log_errors = On必须同时存在；否则错误信息会直接打到页面上，暴露路径、参数甚至 token 片段 - 检查实际生效值：运行
php -i | grep -E "(disable_functions|open_basedir|display_errors)"，别信重启服务就一定生效
真正麻烦的不是设多少项，而是每一项都得在对应 SAPI（CLI/FPM/Apache）下单独验证；同一份 php.ini 文件，改完 FPM 的，CLI 可能还在用旧缓存。
