PHP 安全模式（safe_mode）已在 PHP 5.4.0 中彻底移除，当前所有主流版本（如 8.5.5）均不支持；其淘汰主因是设计缺陷、易绕过、破坏兼容性且无实质安全价值。
PHP 安全模式（safe_mode）在 PHP 5.4.0 中已被彻底移除，2026 年当前所有主流 PHP 版本（包括 8.5.5）均不支持该功能。因此，Apache 无法也不应再配置 PHP 安全模式——这不是配置遗漏，而是技术淘汰。
为什么不能也不该启用 safe_mode
该机制早在 PHP 5.3 就被标记为废弃，5.4 正式删除。原因明确：
- 设计逻辑缺陷：依赖 UID/GID 检查，但 Web 环境中多站点共用用户很常见，实际隔离效果差
- 绕过方式成熟：旧版存在多种 bypass 方法（如通过 symlink、include 路径拼接等）
- 破坏兼容性：大量函数行为受限（
move_uploaded_file、require、shell_exec等），现代框架基本无法运行 - 无替代加固价值：它既不能防命令执行，也不能阻断 SSRF 或内存读取，仅对部分文件操作做粗粒度限制
真正有效的替代方案
用现代、分层、可验证的机制代替已失效的 safe_mode：
-
运行时用户隔离：使用 PHP-FPM，为每个虚拟主机配置独立 pool，指定
user = site1和group = site1，从系统级切断跨站访问可能 -
路径白名单控制：在 VirtualHost 或 FPM pool 中设置
php_admin_value open_basedir "/var/www/site1/:/tmp:/var/www/site1/runtime/"，末尾斜杠不可省略 -
危险函数禁用：在 php.ini 或 pool 配置中设
disable_functions = system,exec,shell_exec,passthru,proc_open,show_source,dl -
远程文件禁止：确认
allow_url_fopen = Off和allow_url_include = Off已关闭，防止远程代码注入
上传目录必须禁用 PHP 解析
这是比 safe_mode 更直接、更可靠的一道防线：
立即学习“PHP免费学习笔记（深入）”；
- 在 Apache 的站点配置中添加：
<Directory "/var/www/site1/uploads">
<FilesMatch "\.(?i:php|phtml|php3|php4|php5|php7|php8)$">
Require all denied
</FilesMatch>
</Directory> - 避免使用
php_flag engine off（仅对 mod_php 有效，且在某些 FPM 场景下不生效） - 确保该目录权限为
755，且不属 Apache 或 PHP-FPM 进程用户（如非 www-data）
敏感文件必须脱离 Web 可达范围
不是靠“隐藏”，而是靠“移出”：
-
php.ini必须放在/etc/php/8.5/apache2/或类似非 DocumentRoot 路径，由 PHP 启动时加载，绝不放入/var/www/ -
.env、config.php、wp-config.php等应置于 Web 根目录之外（如/var/www/site1/config/），并在代码中用绝对路径引入 - 若必须共存于 Web 目录，加 Apache 规则拦截：
<FilesMatch "\.(env|ini|dist|sample|bak|log|inc)$">
Require all denied
</FilesMatch>
