PHP 如何做安全配置

平时咱们用网站的时候，最怕的就是被黑客钻空子，比如信息泄露、网站被篡改，而 PHP 作为很多网站的“幕后开发者”，它的安全配置直接关系到网站的安全。就像给家门换锁、装防盗窗一样，做好 PHP 的安全配置，能给网站加一层靠谱的防护，下面就用生活化的例子，讲讲具体该怎么做。

把“多余的门”焊死——隐藏 PHP 的版本信息

很多 PHP 开发完网站后，会直接把 PHP 版本号暴露在页面里，就像家门上贴着“我家锁是XX牌，能被XX方法打开”，这相当于把自己的弱点告诉了黑客。比如你访问一些网站，右键查看源代码可能会看到类似 X-Powered-By: PHP/7.4.33 的内容，黑客拿到这个版本号，就能查这个版本有没有已知漏洞，专门攻击。

所以第一步，要把 PHP 的版本信息藏起来。在 PHP 的配置文件 php.ini 里，找到 expose_php = On，把它改成 expose_php = Off，这样就不会再暴露版本号了，相当于把家门上的“锁的型号”贴纸撕了，黑客就算想找漏洞，也没那么容易找到针对性的方法。

别让“陌生人碰家里的贵重物品”——限制文件操作权限

PHP 能操作服务器上的文件，比如读取、修改、删除，就像家里的保险柜，要是随便给陌生人钥匙，很容易出问题。很多新手写代码时，会把上传文件的目录设成 777 权限（也就是所有人都能读、写、执行），这就相当于把保险柜的钥匙扔在门口，黑客能直接上传恶意文件，比如挂个后门，控制整个网站。

正确的做法是：给网站目录设合理的权限，比如只允许网站运行的用户（一般是 www-data 或 apache）有读和执行的权限，没有写权限；而专门用来放用户上传文件的目录，就算需要写权限，也别给执行权限，比如把上传目录设成 755，这样黑客就算上传了恶意脚本，也没法运行它，相当于把保险柜里的贵重物品移到陌生人碰不到的房间。另外，还要关掉 PHP 里的文件执行功能，在 php.ini 里把 disable_functions 加上 exec、shell_exec、system 这些危险的函数，就像把家里的电钻、螺丝刀收起来，陌生人拿不到，没法乱拆东西。

别让“假快递”进门——过滤用户输入的内容

用户在网站上填的信息，比如注册时的用户名、发的评论，就像快递员送的包裹，要是不检查就签收，可能里面藏着炸弹。比如有人故意在用户名里写 ' OR 1=1 --，这就是 SQL 注入攻击，要是没过滤，黑客就能通过这个语句拿到数据库里的用户密码、银行卡信息。

处理这个问题的关键是“过滤+验证”：比如用户名只能用字母、数字和下划线，就把其他符号都去掉；邮箱要验证格式对不对，不能随便填。代码里要记得用 PHP 自带的过滤函数，比如 filter_var() 检查邮箱格式，用 mysqli_real_escape_string() 转义 SQL 语句里的特殊字符，就像给每个包裹过安检，把藏在里面的危险物品（恶意代码）挑出来，不让它进到家里。

定期“换门锁”——更新 PHP 和相关组件

PHP 就像门锁，厂家会时不时出更新，补之前发现的漏洞。要是一直用老版本的 PHP，就像用坏了的旧门锁，很容易被打开。比如 PHP 7.4 之前有不少高危漏洞，黑客能通过这些漏洞直接控制服务器。

所以要养成定期更新的习惯：先测试新版本的 PHP 在网站上能不能正常运行，有没有兼容问题，没问题再更新；同时，网站用的 PHP 插件、框架也要及时更，就像门锁换了，门闩、门把手这些配件也得跟着换，不能只换门锁。

做好这些配置，就像给网站装了一套完善的防盗系统，从隐藏弱点、限制权限、过滤危险到定期维护，能大大降低被攻击的风险，让网站更安全。