Windows下Nginx 1.30.5+PHP 8.2.32组合需关闭版本标识、禁用危险函数、加固nginx配置、限制执行权限并确保fastcgi_pass与php-cgi监听地址严格一致，否则易引发502或404错误。
Windows 下 Nginx 1.30.5 搭配 PHP 8.2.32 的组合，性能和兼容性已足够成熟，但默认配置远未达到生产安全要求。关键不在版本多新，而在于是否主动关闭暴露面、限制执行权限、隐藏指纹、阻断常见攻击路径。下面直接说实操要点，不绕弯。
禁用版本标识与错误泄露
攻击者第一眼就看你的“身份证”。Nginx 和 PHP 都必须隐藏版本号和详细错误。
- Nginx：在 nginx.conf 的
http块内添加：server_tokens off; - PHP：打开 php.ini，确认以下三项已设置：
expose_php = Offdisplay_errors = Offlog_errors = On（并指定error_log = C:/nginx/logs/php_errors.log） - 验证方式：访问一个不存在的 .php 文件，响应头中不应出现
Server: nginx/1.30.5或X-Powered-By: PHP/8.2.32
限制危险函数与执行入口
Windows 环境下 PHP-CGI 启动权限较难收敛，因此更需从函数层切断攻击链。
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 编辑 php.ini，在
[Function Restrictions]区域添加：disable_functions = system,exec,shell_exec,passthru,popen,proc_open,eval,assert,create_function,show_source,highlight_file,symlink,link,parse_ini_file,phpinfo,php_uname,getcwd,diskfreespace - 特别注意：
cgi.force_redirect = 0（Windows + Nginx 必须设为 0，否则全站 404）cgi.fix_pathinfo = 1（否则 SCRIPT_FILENAME 解析失败，报 502） - 确保
extension_dir指向真实扩展目录，例如：extension_dir = "C:/php/ext"
加固 Nginx 配置与请求控制
Windows 版 Nginx 虽无 systemd，但配置逻辑一致，重点防扫描、防遍历、防伪造。
立即学习“PHP免费学习笔记（深入）”；
- 在 nginx.conf 的
server块中加入以下防护段：location ~ /\.ht { deny all; }location ~ /\.(git|svn|log|conf|bak|ini)$ { deny all; }location ~ ^/phpmyadmin|/admin|/wp-admin { deny all; }（按实际删减敏感路径） - 禁用不安全 HTTP 方法：
limit_except GET HEAD POST { deny all; } - 关闭目录浏览：
autoindex off; - 若非必要，注释或删除
index.php所在 location 块外的try_files回退逻辑，避免路径混淆
运行权限与进程隔离
Windows 下无法像 Linux 那样精细切分用户，但可通过服务化+最小权限降低风险。
- 不要双击运行
nginx.exe或php-cgi.exe，改用 Windows 服务方式托管：
使用nssm.exe将 nginx 和 php-cgi 分别注册为系统服务，启动账户设为新建的低权限用户（如nginxsvc），该用户仅对C:/nginx和C:/php有读取+执行权，无写入、无网络共享、无管理员组成员资格 - 检查 php-cgi 监听地址是否严格匹配：
php-cgi.exe -b 127.0.0.1:9000→ nginx.conf 中fastcgi_pass 127.0.0.1:9000;必须完全一致 - 确保
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;在 location 块中明确写出，不依赖默认拼接
