ThinkPHP伪静态配置不负责禁止上传目录执行PHP，必须由Web服务器独立配置location或Directory规则封堵；Nginx需添加精准正则location块，Apache需用.htaccess或vhost禁用PHP解析，最优方案是将上传目录设为非Web可访问路径。
ThinkPHP伪静态配置本身不负责禁止上传目录执行PHP，这是Web服务器（Nginx/Apache）的权限控制任务。伪静态规则只管URL重写和路由转发，而执行权限必须由独立的 location 或 Directory 配置来封堵。两者需协同，但职责分明。
在Nginx中精准禁用上传目录PHP执行
不能只靠伪静态规则，必须额外添加专用 location 块，且位置要正确（通常放在 server 块内、主 location / 之后、PHP处理块之前）：
- 若上传目录为 /uploads/（Web可访问路径），加这段：
return 403;
}
- 若你按安全规范把上传目录设为非Web路径（如
runtime/upload/），则无需此条——因为该路径根本不在Nginx的 root 范围内，用户无法通过URL访问，自然无法执行 - 宝塔用户：进【网站→设置→配置文件】，在
#PHP-INFO-START上方或下方插入上述 location，保存后重载Nginx - 关键点：正则必须以
^/uploads/开头，避免匹配到/user/uploads/xxx.php这类干扰路径
在Apache中用.htaccess或vhost禁用
如果上传目录是 Web 可访问的（例如 public/uploads/），在该目录下放一个 .htaccess 文件：
RemoveHandler .php .phtml .php3 .php4 .php5 .php7 .php8
AddType application/x-httpd-php-source .php
- 更稳妥的做法是在虚拟主机配置中直接限制：
<Directory "/var/www/myapp/public/uploads"><br> php_flag engine off<br> Require all denied<br></Directory>
- 注意：
Require all denied会连文件下载都禁止；如需保留图片访问，改用php_flag engine off即可停用PHP解析
伪静态与执行控制必须解耦设计
常见错误是误以为“配好伪静态就等于安全了”。实际上：
立即学习“PHP免费学习笔记（深入）”；
- 伪静态规则（如
try_files $uri $uri/ /index.php?$query_string）只影响请求怎么进 index.php，不影响已上传的 .php 文件是否能被直接执行 - 即使你用
location / { try_files ... }把所有请求兜底到框架，攻击者仍可绕过路由，直接请求/uploads/shell.php—— 只要这个路径没被单独拦截，Nginx 就会把它当作PHP脚本交给PHP-FPM执行 - 所以，上传目录的执行禁令必须作为独立策略存在，且优先级高于主路由规则
真正安全的上传路径建议
比“禁执行”更彻底的做法，是从源头杜绝URL可访问性：
- ThinkPHP上传目标路径不要设为
public/uploads，改用runtime/upload或storage/app/uploads—— 这两个目录默认不在Nginx的root范围内，用户根本无法构造URL访问 - 如业务需对外提供图片链接，统一走控制器代理：
/api/file?hash=abc123，由PHP读取文件并输出，不暴露物理路径 - 此时，连“禁执行”配置都可以省掉，因为没有对应URL，Nginx压根不会收到任何针对上传文件的请求
