PHP 8.4 实现文件路径隐藏的核心是切断用户请求与物理路径的直接映射：所有访问必须经 PHP 中间层（如 download.php）控制，前端仅传加密 ID 或 token，后端查库获取真实路径并流式输出；同时通过 Nginx/Apache 拒绝直访私有目录、php.ini 关闭 expose_php 和错误显示、open_basedir 限定路径范围，并前置校验权限与签名。
PHP 8.4 写动态页面时，藏真实路径不能靠“不显示”或“改个链接名”，关键在于切断用户请求与物理文件路径的直接映射关系。核心思路是：所有资源访问必须经过 PHP 中间层控制，服务器绝不允许外部直连敏感目录或脚本，且路径解析全程在服务端完成、不暴露任何文件系统结构。
用 ID 映射替代路径拼接
前端链接不带任何路径信息，只传加密 ID 或随机 token；后端通过该 ID 查数据库获取真实文件路径，再流式输出。这样即使 URL 被截获，也无法反推存储位置。
- 上传时生成唯一 file_id（如 hash_hmac('sha256', $filename . time(), $_ENV['SECRET_KEY'])），存入数据库字段
- 下载页链接写成 /download?id=abc123def456，而非 /files/2026/report.pdf
- download.php 中严格校验 ID 是否存在、未过期、归属当前用户，并用 basename() 提取文件名防路径遍历
强制中间层代理所有资源请求
让 Web 服务器（Nginx/Apache）直接拒绝访问上传目录、私有目录等真实路径，所有请求必须经由 PHP 脚本中转。
- Nginx 配置中加：location ^~ /private/ { deny all; }，确保该目录无法被浏览器直访
- 静态资源（PDF、ZIP、MP3）全部放在 /var/www/private/ 这类非 Web 根目录下
- PHP 下载脚本里用 readfile() 或 fopen() + fpassthru() 流式输出，配合正确 header（Content-Disposition、Content-Type、Content-Length）
关闭路径泄露通道
PHP 8.4 自身也要收紧配置，防止通过错误提示、函数调用或响应头意外暴露路径。
立即学习“PHP免费学习笔记（深入）”；
- php.ini 中设 expose_php = Off、display_errors = Off、log_errors = On
- 用 open_basedir 限制可访问路径范围，例如：/www/wwwroot/example.com/:/tmp/:/dev/urandom
- 禁用高危函数：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,dl
- 确保 download.php 前置权限校验（登录态、订单状态、时间窗口），失败立即 exit 并返回标准 HTTP 状态码（403/404/425）
URL 层做轻量混淆（辅助手段）
这不是安全主力，但能增加爬虫和人工探测成本。适用于前端展示的下载按钮、附件链接等场景。
- 用 base64_encode + 时间戳 + HMAC 签名组合生成短链参数，例如：?t=MTcyNzE2MjQwMA==&s=a1b2c3...
- Apache 的 .htaccess 或 Nginx 的 rewrite 可将 /get/doc-123 重写为 /download.php?id=123，用户看不到真实脚本名
- 避免在 HTML 源码或 JS 中硬编码路径，所有链接由 PHP 模板动态生成并签名验证
