PHP 8.0 生产环境必须关闭 display_errors，否则 Notice 等错误可能泄露文件路径、类名、变量结构等敏感信息；需同步配置 display_errors = Off、log_errors = On、error_log 指向 Web 不可访问的绝对路径，并对数据库连接错误脱敏处理，同时在 Web 服务器层拦截 phpinfo 等敏感路径。
PHP 8.0 生产环境必须关闭错误详情输出，这不是可选项，而是安全底线。一旦开启 display_errors，哪怕只是触发一个 Notice，也可能把文件路径、类名、变量结构甚至部分配置片段直接暴露在 HTML 响应或 AJAX 返回中——攻击者不需要入侵，光靠反复请求就能拼出你的系统骨架。
核心配置：php.ini 三要素必须同步生效
仅改一项不够，三项需同时满足：
-
display_errors = Off：彻底禁用所有错误、警告、通知向浏览器输出（包括
mysqli_error()、PDO 连接失败提示等显式调用） - log_errors = On：确保错误仍被记录，避免“静默失败”导致故障难排查
-
error_log = /var/log/php/error.log（或绝对路径）：日志必须写入 Web 无法访问的目录，且该文件权限设为
640，属主为www-data或对应运行用户
数据库连接错误必须脱敏处理
MySQLi 和 PDO 默认行为极易泄露 host、user、端口甚至错误上下文。不能依赖 display_errors = Off 拦住它们：
- MySQLi 推荐使用面向对象方式，并主动检查：
$db = new mysqli($host, $user, $pass, $db);<br>if ($db->connect_error) { error_log('DB connect failed'); http_response_code(503); exit('Service unavailable'); } - PDO 必须禁用异常模式：
$pdo = new PDO($dsn, $user, $pass, [PDO::ATTR_ERRMODE => PDO::ERRMODE_SILENT]);<br>if ($pdo->errorCode() !== '00000') { error_log('PDO connect failed: ' . json_encode($pdo->errorInfo())); die('Service unavailable'); } - 严禁在任何错误消息中拼接
$host、$user等变量，日志也需先脱敏再记录
Web 服务器层兜底拦截敏感路径
即使 PHP 配置正确，仍可能因调试文件残留或路径猜解导致泄露。需在 Apache 或 Nginx 中强制阻断：
立即学习“PHP免费学习笔记（深入）”；
- Apache（.htaccess 或虚拟主机配置）：
<FilesMatch "(phpinfo|info|test|debug|install)\.php$"><br> Require all denied<br></FilesMatch>
- Nginx（server 块内，且必须放在
location ~ \.php$之前）：location ~* /(phpinfo|info|test|debug|install)\.php$ {<br> deny all;<br>} - 额外补充：禁止访问所有非 PHP 敏感后缀：
location ~ \.(env|ini|log|bak|yml|yaml|dist|old|orig|git|svn)$ { deny all; }
验证是否真正生效的三个动作
别只看首页不报错就认为安全了。攻击者用脚本批量探测，你得用同样方式验证：
- 执行
php -i | grep display_errors，确认输出为display_errors => Off - 手动请求两个典型探测路径：
curl -I https://yoursite.com/phpinfo.php（应返回 403 或 404）curl -I https://yoursite.com/?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000（expose_php 彩蛋，也应 403/404） - 临时提高 Web 服务器 access log 级别，重放上述请求，检查日志中是否出现
200响应行
关掉错误输出本身不难，难的是让每一处可能泄露的出口都被堵死。从 php.ini 到数据库连接逻辑，再到 Web 服务器规则和部署流程，环环相扣。漏掉任意一环，都等于在防火墙上留了扇没锁的窗。
