open_basedir需精确配置并多层加固：路径须带尾部斜杠、Nginx用PHP_ADMIN_VALUE强制设定、禁用glob等危险函数及URL协议，并实测验证而非依赖ini_get()。
open_basedir 不是“开了就安全”的开关，而是需要精确配置、多层配合的运行时路径边界机制。单靠在 php.ini 里写一行 open_basedir = "/var/www/html/"，几乎起不到实质防护作用——绕过方式太多，且 PHP 8.2.35 及更早版本根本不修复这类逻辑限制失效问题。
路径配置必须带尾部斜杠且显式完整
错误写法如 /var/www/html 会被绕过：攻击者可构造 /var/www/html_evil 路径，因前缀匹配成功而放行。正确写法必须末尾加斜杠：
- /var/www/html/ —— 仅允许该目录及其子目录
- 多个路径用英文冒号分隔：/var/www/html/:/tmp/:/var/lib/php/sessions/
- 漏掉 session 目录会导致用户登录失败；漏掉 /tmp/ 会让临时文件操作报错
禁用关键危险函数与协议
open_basedir 对 glob://、phar://、zip:// 等流包装器校验薄弱，DirectoryIterator("glob:///etc/") 在多数 PHP 版本中完全无视限制。必须配合禁用：
- 在 php.ini 中设置 disable_functions = "glob,scandir,apache_get_modules"（
glob是核心绕过入口） - 确保 allow_url_include = Off 和 allow_url_fopen = Off
- 避免使用
ini_set('open_basedir', ...)—— 动态设置可被后续代码覆盖，且不作用于 exec 子进程
Nginx 层 fastcgi_param 强制加固
PHP 层配置易被 .user.ini 或 ini_set 绕过，Nginx 的 fastcgi_param 优先级更高、更难篡改：
立即学习“PHP免费学习笔记（深入）”；
- 在网站 Nginx 配置的 location ~ \.php$ 块内添加：
fastcgi_param PHP_ADMIN_VALUE "open_basedir=/var/www/html/:/tmp/;" - 该参数会覆盖 php.ini 和 .user.ini，且无法被 PHP 脚本动态修改
- 每台服务器、每个站点应单独配置，避免跨站路径泄露
验证是否真生效，别信 ini_get()
调用 ini_get('open_basedir') 返回值只是当前配置快照，不代表实际生效。要实测边界行为：
- 执行
print_r(glob('/etc/*'));—— 若返回非空数组，说明 glob 未受控 - 运行
new DirectoryIterator('glob:///etc/');—— 若不报错，存在目录遍历风险 - 尝试
file_get_contents('/proc/self/environ');—— 应抛出 open_basedir 错误
