关闭 display_errors 是阻断 sql 报错注入的关键一步，因为该配置开启时数据库的原始错误信息会直接回显在网页上，攻击者无需构造复杂的盲注 payload 即可通过观察页面反馈获取数据。要彻底关闭它，需要在 php.ini 配置文件中将 display_errors 设置为 off，或者在 php 脚本执行初期调用 ini_set('display_errors', '0') 函数进行动态覆盖，同时建议配合 error_reporting(0) 屏蔽所有级别的错误报告，确保敏感信息不泄露。
PHP 配置文件中 display_errors 的具体设置位置在哪里
在标准的 PHP 安装环境中，display_errors 指令位于 php.ini 文件的 [PHP] 部分或 [Date] 部分之后，具体取决于 PHP 版本和发行版的打包方式，但通常可以在搜索 display_errors 后找到默认值为 On 的行。修改该行为 display_errors = Off 并重启 Web 服务器（如 Nginx 或 Apache）后，PHP 引擎将不再向客户端输出任何错误详情，从而切断报错注入的数据通道。
; ; Display errors ; ; Default Value: On ; Development Value: On ; Production Value: Off ; display_errors = Off
如何在运行时动态关闭错误显示以应对无法修改 ini 的场景
当开发者没有服务器权限修改全局 php.ini 文件时，可以通过在入口脚本的最顶端插入 ini_set() 函数来临时覆盖当前请求的配置。这种方法立即生效且仅影响当前脚本执行周期，适合共享主机环境或快速修复场景，但必须确保在代码执行早期调用，以免之前的代码已经触发了错误输出。
<?php
// 必须在任何可能产生错误的代码之前执行
ini_set('display_errors', '0');
error_reporting(E_ALL);
// 模拟一个会导致错误的操作
$result = 1 / 0;
?>
关闭 display_errors 后 error_log 是否还会记录敏感 SQL 信息
即使 display_errors 被设为 Off，如果 log_errors 配置项保持为 On，PHP 仍会将错误信息写入指定的日志文件（由 error_log 指定路径）。这意味着虽然攻击者无法直接从浏览器看到报错，但如果他们拥有服务器文件读取权限或通过其他漏洞（如 LFI）访问日志文件，依然可以获取包含 SQL 语句和数据库结构的敏感信息。因此，生产环境中应同时检查 log_errors 的设置，并确保日志文件权限严格限制为仅管理员可读。
