修复PHP未授权访问漏洞的核心是服务端强制校验身份与权限：必须在关键入口（如/admin/、/api/）开头调用session_start()并检查$_SESSION['user_id']等有效标识，为空则跳转登录或拒绝访问；禁用cookie校验，统一用中间件/过滤器管控；收敛暴露面，关闭PHP-FPM 9000端口、禁用调试文件、清除备份文件；权限分级，操作前二次校验角色与数据归属。
修复PHP未授权访问漏洞，核心是切断未认证用户对敏感功能或资源的直接访问路径，不能只靠前端隐藏链接或混淆文件名。重点在于服务端强制校验身份与权限，同时收敛暴露面。
关键入口加登录态拦截
所有需登录才能访问的PHP页面（如/admin/、/user/profile.php、/api/data.php），开头必须检查session是否存在且有效：
- 用
session_start()启动会话 - 读取
$_SESSION['user_id']或$_SESSION['logged_in']等标识 - 若为空或非法，立即
header('Location: /login.php')跳转，或exit('Access denied') - 避免只校验cookie——它可被客户端篡改
统一用过滤器/中间件管控
不要在每个PHP文件里重复写判断逻辑。推荐使用框架自带机制或自建全局过滤：
- ThinkPHP：在
app/middleware.php中注册权限中间件，对/admin/*路由统一拦截 - 原生PHP：在公共入口（如
init.php）中统一验证，再require业务文件 - Apache/Nginx：用
.htaccess或location块限制目录访问，例如禁止直接访问/config/或/data/
收敛后端服务暴露面
很多PHP未授权访问其实源于配套服务配置不当：
立即学习“PHP免费学习笔记（深入）”；
- Redis/MongoDB：禁用默认端口公网监听，强制设置密码（
requirepass）、绑定内网IP - PHP-FPM：关闭
9000端口对外暴露；检查security.limit_extensions是否仅允许.php - 调试接口：删除
phpinfo.php、禁用display_errors = Off、关闭X-Powered-By头 - 备份文件：清除
.bak、.swp、.git等残留，Web根目录不放敏感配置文件
权限分级与最小化原则
即使用户已登录，也不代表能访问全部功能：
- 区分角色（如普通用户、管理员），在关键操作前二次校验权限，例如：
if ($_SESSION['role'] !== 'admin') die('No permission') - 数据库查询避免硬编码uid，用当前登录用户的ID做WHERE条件，防止越权查看他人数据
- 文件操作函数（
file_get_contents、include）严禁拼接用户输入的路径，必须白名单校验或映射为内部ID
