PHP 8.3 本身不防御 XSS 或 SQL 注入，真正防护靠应用层逻辑；php.ini 的作用是禁用危险机制（如 allow_url_include=Off、disable_functions）、隐藏敏感信息（expose_php=Off）、限制执行条件（open_basedir），构建纵深防御第一道屏障。
PHP 8.3 本身不直接防御 XSS 或 SQL 注入——这两类攻击的根源在应用层逻辑（输入处理、SQL 构造、HTML 输出），而非 PHP 解释器。但 php.ini 的合理配置能切断攻击链的关键入口，构建纵深防御的第一道屏障。重点不是“让 php.ini 拦住 XSS”，而是让它 禁用危险机制、隐藏敏感信息、限制恶意行为的执行条件。
关闭动态代码执行与远程加载
很多注入攻击依赖 PHP 加载并执行外部或用户可控的内容，必须彻底禁止：
- allow_url_fopen = Off：阻止 file_get_contents()、fopen() 等函数读取 http:// 或 ftp:// URL，杜绝远程文件包含（RFI）及基于 URL 的 XXE/XSS 诱导
- allow_url_include = Off：禁用 require/include 加载远程脚本，这是高危 RFI 的直接通道（比 allow_url_fopen 更严格）
- disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec：禁用所有命令执行函数，防止 SQL 注入成功后进一步反弹 shell 或读取系统文件
强化输入/输出基础安全环境
这些设置不拦截攻击，但大幅增加攻击者绕过防护的成本：
- expose_php = Off：不在 HTTP 响应头中暴露 PHP 版本（如 X-Powered-By: PHP/8.3.12），避免攻击者精准选择已知漏洞利用
- display_errors = Off（生产环境必设）：防止数据库错误、SQL 语法报错、路径泄露等敏感信息回显到前端，这对盲注和 XSS 的 DOM 利用至关重要
- log_errors = On + error_log = /var/log/php/error.log：确保错误被记录，便于事后审计异常查询（如含 union、sleep、benchmark 的日志线索）
- default_charset = "UTF-8"：统一字符集，减少因编码不一致导致的 htmlspecialchars 失效或绕过（如 UTF-7 XSS）
限制文件操作范围与会话安全
缩小攻击面，让即使被注入也难以横向移动：
立即学习“PHP免费学习笔记（深入）”；
- open_basedir = /var/www/example.com:/tmp：强制所有文件操作（包括 include、fopen、file_get_contents）只能在指定目录内进行，阻断读取 /etc/passwd 或源码泄露
- session.cookie_httponly = 1 + session.cookie_samesite = Strict：防止 XSS 脚本窃取 session cookie，从源头削弱 XSS 的危害等级
- upload_max_filesize = 2M + post_max_size = 8M：限制上传体积，配合应用层校验，降低恶意富文本或 WebShell 上传成功率
不推荐/已废弃的配置项（PHP 8.3 中无效或有害）
以下选项在 PHP 8.3 中要么已被移除，要么会引入新风险，务必删除或设为默认值：
-
magic_quotes_gpc = On：自 PHP 5.4 起废弃，8.3 已完全移除。若遗留配置会导致代码逻辑错乱，且无法防御现代注入 -
safe_mode = On：PHP 5.4 废弃，8.3 不存在。该模式早已被证明设计缺陷多、兼容性差 -
register_globals = On：PHP 5.4 移除，8.3 不支持。曾是早期注入温床，现在仅需确认未启用即可
php.ini 是安全基线，不是银弹。真正的防御核心仍在代码：SQL 用 PDO 预处理绑定参数，HTML 输出前用 htmlspecialchars($str, ENT_QUOTES | ENT_HTML5, 'UTF-8')，富文本用 HTMLPurifier。php.ini 的作用，是让写错代码时的后果更轻、攻击者可利用的武器更少。
