应设为 memory_limit = -1（无限制），前提是已升级至 PHP 8.2.35/8.3.36/8.4.27/8.5.12 等安全版本；多站点共存时建议单站配置 .user.ini 设为 384M，含图像处理等场景需同步调大 pm.max_children 和 vm.overcommit_memory。
小皮面板里 PHP 8.x 的 memory_limit 设置，不能只看“够不够用”，得结合版本安全性、运行模式（PHP-FPM 还是 CLI）、实际项目类型和当前漏洞缓解要求来定。
必须避开的高危默认值
PHP 官方在 2026 年 10 月披露的 php2shell 漏洞（CVE-2026-109618/109619）明确指出：攻击者可利用内存耗尽（OOM）触发底层状态异常。因此，绝对不要保留默认的 128M 或 256M —— 这类固定上限反而成了攻击者可控的触发条件。
- PHP 8.2.35、8.3.36、8.4.27、8.5.12 是已修复的安全底线版本，但即使升级后，若仍设为固定值（如
memory_limit = 512M），仍可能被定向打满触发残留风险 - 小皮面板默认使用 PHP-FPM，而 PHP-FPM 的
memory_limit是每个 worker 进程独立生效的，设太高会加剧内存碎片和进程僵死概率
推荐设置方案（按场景）
先确认你用的是哪个 PHP 版本（比如 php8.4.20nts），再查它的 php --ini 输出，找到 Loaded Configuration File 路径，编辑那个 php.ini 文件。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
-
中小型网站（Laravel 10 / ThinkPHP 8 / WordPress 插件不多）：设为
memory_limit = -1（无限制）。这是 PHP 官方在漏洞公告中明确建议的缓解方式，适用于已升级到安全版本的用户 -
多站点共存（小皮面板托管 5–10 个站）：不建议全局统一设 -1。应为每个站点单独配置 PHP 版本+自定义 php.ini，在各自目录下放一个
.user.ini，写入memory_limit = 384M（比默认高但留余量） -
含图像处理、Excel 导出或大文件上传的站点：仍优先用
-1，但需同步调大 PHP-FPM 的pm.max_children和系统vm.overcommit_memory，否则 -1 反而引发 OOM Killer 杀进程
设完必须做的两件事
光改配置不重启等于没改。小皮面板界面操作更直观：
立即学习“PHP免费学习笔记（深入）”；
- 在【网站】→ 选中站点 → 【PHP 设置】→ 点击【重载配置】（不是“保存”）
- 进【服务】→ 找到对应 PHP-FPM 版本（如 php8.4-fpm）→ 点击【重启】
- 验证是否生效：
php-fpm8.4 -i | grep memory_limit或访问phpinfo()页面确认
小皮面板本身不干预 PHP 内存策略，它只是配置入口。真正起效的是你改的那个 php.ini 和后续的 FPM 进程重启动作。设大了怕崩，设小了怕漏，-1 是目前最平衡的选择，前提是你的 PHP 已升到对应分支的安全终点版本。
