目录遍历漏洞本质是应用程序未校验用户输入路径，导致通过../等跳转字符越权访问文件；PHP 8.4仅为运行环境，其新特性如严格open_basedir和只读类反而有助于缓解该漏洞。
PHP 8.4 本身不直接引入“目录遍历漏洞”，它不是该漏洞的成因，而是攻击者可能利用的运行环境。真正的目录遍历（Directory Traversal）漏洞源于应用程序代码中对用户输入的路径参数未做严格过滤和校验，比如用 file_get_contents($_GET['file']) 直接拼接文件路径，又没限制 ../ 等跳转序列。PHP 8.4 的新特性（如更严格的 open_basedir 默认行为、只读类、属性钩子）反而有助于缓解这类问题，但前提是开发者正确启用并配置。
检查并清理存在风险的代码逻辑
重点排查所有接收外部输入并用于文件操作的地方：包括 include、require、fopen、file_get_contents、readfile、scandir 等函数调用点。
- 禁止直接拼接用户输入：
$file = $_GET['path'] . '/config.php';这类写法必须重写 - 统一使用白名单机制：例如只允许访问预定义的几个文件名，或通过映射数组转换请求参数
- 强制规范化路径后校验根目录：
$realpath = realpath($user_input); if (strpos($realpath, '/www/wwwroot/your-site.com') !== 0) { die('Access denied'); } - PHP 8.4 中可配合
readonly class封装路径解析逻辑，防止意外修改内部状态
加固 PHP 配置与运行时限制
即使代码有疏漏，合理的 PHP 配置也能大幅缩小攻击面。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 确保
open_basedir已启用且精确指向网站根目录，例如：open_basedir = /www/wwwroot/your-site.com:/tmp - 禁用危险函数（在 php.ini 中）：
disable_functions = shell_exec,exec,passthru,system,proc_open,popen（注意不影响正常业务） - 关闭
allow_url_fopen和allow_url_include，防止远程文件包含类扩展攻击 - PHP 8.4 默认更严格校验
open_basedir，若发现文件操作失败，优先检查该设置是否遗漏或路径拼写错误
验证并修复宝塔面板下的实际权限结构
很多所谓“目录遍历”现象，其实是被篡改后留下的权限后门导致的——比如攻击者把整个网站目录设为 777 或加了 i 属性锁死修复动作。
立即学习“PHP免费学习笔记（深入）”；
- 先查锁定：
lsattr -R /www/wwwroot/your-site.com | grep 'i'，如有输出，立即执行chattr -R -i /www/wwwroot/your-site.com - 确认 PHP-FPM 实际运行用户（如
www），再重置所有权：chown -R www:www /www/wwwroot/your-site.com - 分类型设权限：
find /www/wwwroot/your-site.com -type d -exec chmod 755 {} \;（目录），find /www/wwwroot/your-site.com -type f -exec chmod 644 {} \;（文件），上传目录单独放开：chmod -R 755 /www/wwwroot/your-site.com/uploads - .user.ini 和 .htaccess 必须保持
644，否则宝塔防跨站策略会失效
关注关联组件的已知遍历类漏洞
PHP 8.4 是运行环境，真正暴露遍历入口的往往是 CMS、插件或框架。近期高危案例包括：
- MetInfo CMS CVE-2026-29014：微信回复模块存在未授权路径拼接，影响 7.9–8.1 版本
- WordPress Breeze Cache CVE-2026-3844：Gravatar 本地托管功能导致任意文件上传，可配合遍历写入 Webshell
- phpMyAdmin、Nextcloud、Laravel 等基于 PHP 的系统，历史上均曝出过路径解析绕过类漏洞
- 检查当前使用的 CMS/插件版本，对照 CNVD 或官方安全公告，及时升级到已修复版本（如 MetInfo ≥ 8.2、Breeze ≥ 2.4.5）
