PhpStorm本身无“安全模式”开关，所谓安全运行依赖三层人工控制：PHP解释器权限、项目文件系统权限及沙盒用户身份，需手动配置受限用户启动PHP、设置目录权限边界，并在专用php.ini中禁用危险函数。
PhpStorm 本身没有“安全模式”开关
别被“安全模式”这个词带偏——PhpStorm 不像浏览器或某些 CLI 工具那样提供一键启用/禁用危险操作的全局安全模式。它不拦截 exec()、不自动禁用 system()、也不会在运行前扫描 PHP 文件是否含敏感函数。所谓“安全运行”，实际是靠三层人工控制：PHP 解释器权限、项目文件系统权限、以及沙盒用户身份。你得自己把这三层卡住，IDE 才不会帮你“越界”。
关键不是 PhpStorm 设置，而是 PHP 进程以谁的身份跑
很多人以为在 PhpStorm 里点“运行”就完事了，其实真正执行 php script.php 的，是底层操作系统的一个进程。这个进程用哪个用户身份启动，决定了它能读哪、写哪、执行哪。所以第一步必须明确：你的 PHP CLI 解释器是用什么用户启动的？
- 默认情况下，Windows 是当前登录用户；macOS/Linux 多数是你的 shell 用户（比如
yourname），不是www-data或_www - 如果直接用
php命令调用，且没做任何隔离，那它就拥有你当前用户的全部文件权限 —— 包括读取~/.ssh/id_rsa、写入/tmp、甚至执行sudo（如果配置过免密） - 想限制，就得让 PhpStorm 调用一个**受限用户启动的 PHP 解释器**，而不是直接指向
/usr/bin/php或C:\php\php.exe
做法很简单：在 Settings → PHP → CLI Interpreter 里，不填原路径，而是填一个包装脚本，例如：
#!/bin/bash sudo -u sandboxuser /usr/bin/php "$@"
注意：sudo -u 必须配置免密（visudo 加 sandboxuser ALL=(ALL) NOPASSWD: /usr/bin/php），否则每次运行都会卡住等密码。
立即学习“PHP免费学习笔记（深入）”；
沙盒用户必须提前配好文件系统权限边界
只换执行用户还不够。如果 sandboxuser 对项目目录有写权限，它照样能删 config.php；如果对 /var/tmp 有读写权，就能偷其他进程的临时文件。真正的限制得落在文件系统上：
- 项目根目录设为
chown sandboxuser:sandboxgroup /path/to/project，然后chmod 750—— 组内可读不可写，其他人全拒 - 上传目录（如
public/uploads）设为chmod 755，但禁止执行：用chmod -x public/uploads，防止上传 .php 后被解析执行 - 敏感配置文件（如
.env）设为chmod 640，且确保sandboxuser不在该文件所属组里 —— 即使同属一个项目目录，也能做到“看得见，打不开” - 用
realpath()+ 白名单校验路径（比如只允许访问/path/to/project/app/下的文件），不能只靠 chmod，因为 PHP 仍可能通过symlink()或glob()绕过
别指望 PhpStorm 自动帮你拦住危险函数
即使你已用沙盒用户运行，exec('cat /etc/shadow') 在代码里依然能写、能保存、能点击运行 —— PhpStorm 不会报错，PHP 解释器也不会拒绝，只要 sandboxuser 有对应权限，它就真去执行。所以：
-
disable_functions必须写进沙盒用户专用的php.ini（不是系统全局那个），路径类似/home/sandboxuser/php.ini，内容加一行：disable_functions = exec,shell_exec,system,passthru,proc_open - PhpStorm 的“运行检查”（
Code → Inspect Code）可以高亮出这些函数调用，但它只是提示，不会阻止执行 —— 别把它当成防火墙 - 如果你真需要动态拦截，得靠外部机制：比如用
sandbox-exec -f policy.sb php script.php包一层 macOS 沙盒策略，或 Linux 上用firejail，而不是依赖 IDE
最易被忽略的一点：沙盒用户权限再严，也拦不住你自己在代码里 chdir('/') 然后 scandir() —— 权限控制的是“进程能访问什么”，不是“代码逻辑能不能绕”。所以最终防线，还是代码里对路径和操作的主动校验。
