FrankenPHP 本身无管理端口，所谓“管理端口”实为外部组件所用：frp dashboard 默认7500（需绑定127.0.0.1）、Caddy Admin 常用2019、Docker调试端口如8888，均须限制仅本地访问，禁止0.0.0.0暴露。
FrankenPHP 的管理端口有哪些
FrankenPHP 本身不内置 Web 管理界面或 admin API，所谓“管理端口”通常来自三类外部组件：Caddy Admin（如 caddy-admin 插件）、frp dashboard（7500）、或调试用的 Docker 容器健康检查端口（如 8888）。这些端口不是 FrankenPHP 进程监听的，但常被误配进公网暴露链路中。
为什么 7500 或 8888 会意外暴露
常见错误是把 frp 配置里的 dashboard_addr = 0.0.0.0:7500 直接部署在云服务器上，或 Docker Compose 中写了 ports: ["8888:8888"] 却没加 IP 限制。这类端口一旦开放，攻击者可直接访问 frp 控制台、Caddy Admin 登录页，甚至触发未授权命令执行。
- frp dashboard 默认无认证，
7500开放即等于交出内网穿透控制权 - Caddy Admin 若启用且 root 挂载了整个
/app，可能泄露.env或源码目录结构 - Docker 的
8888常是第三方插件端口，不属 FrankenPHP 官方支持范围，文档极少，权限模型模糊
只允许本地或指定 IP 访问的实操方式
不能只靠阿里云安全组“关掉端口”，而要在服务启动层就切断公网入口。关键动作是绑定 127.0.0.1 而非 0.0.0.0：
- frp：把
dashboard_addr = 127.0.0.1:7500，再用ssh -L 7500:localhost:7500 user@server本地转发访问 - Caddy Admin：若必须启用，确保 Caddyfile 中监听地址为
localhost:2019，而非:2019 - Docker：避免
-p 8888:8888，改用-p 127.0.0.1:8888:8888—— 这样只有宿主机本机能连，Docker 不会将其纳入 iptables 公网规则 - 验证是否生效：
curl -v http://localhost:7500应返回内容，curl -v http://你的公网IP:7500必须超时或拒绝连接
最容易被忽略的隐性暴露点
即使你没显式开管理端口，以下情况仍可能导致暴露：
立即学习“PHP免费学习笔记（深入）”；
- 用
--network host启动 FrankenPHP 容器，同时又在宿主机运行了其他服务（如 Nginx、Node.js）监听0.0.0.0:8888—— Docker host 模式会共享全部端口，FrankenPHP 容器“被动继承”了这个端口 - 阿里云安全组放行了
0.0.0.0/0的全部 TCP 端口，而系统防火墙（firewalld或ufw）没启用，此时任何监听0.0.0.0的进程都会被扫到 - frp client 配置了
admin_addr = 0.0.0.0:7400（非 dashboard），该端口也提供管理接口，同样需绑定127.0.0.1
真正安全的管理访问，永远依赖“网络层隔离 + 绑定回环地址 + 本地转发”，而不是靠事后删掉安全组规则。
