Apache如何保护PHP配置文件_防止敏感信息泄露的安全设置【指南】-php教程-PHP中文网

应禁止直接访问.php.ini等配置文件，通过FilesMatch正则匹配并Require all denied；正确做法是将php.ini置于/etc/php/等非Web路径，config.php等应移出DocumentRoot或加die()防护。

apache如何保护php配置文件_防止敏感信息泄露的安全设置【指南】

Apache如何阻止直接访问 .php.ini 或其他 PHP 配置文件

默认情况下，Apache 不会主动屏蔽对 .php.ini、php.ini、.env、config.php 等配置类文件的 HTTP 请求。一旦这些文件被放在 Web 根目录下且未做限制，攻击者可通过浏览器直接请求（如 https://example.com/.php.ini）获取敏感内容——包括数据库密码、密钥、调试开关等。

最稳妥的做法是：**不让这类文件出现在 Web 可访问路径中**。但若因历史原因必须共存，需通过 Apache 配置显式禁止访问：

在站点配置（VirtualHost）或 .htaccess 中添加：
```
<filesmatch>
    Require all denied
</filesmatch>
```
FilesMatch 比 Files 更灵活，支持正则；注意 Apache 2.4+ 使用 Require all denied，2.2 则用 Order deny,allow + Deny from all
不要只拦 .php.ini —— 开发中常见的 config.php 若含 mysql_connect() 或硬编码密码，同样危险

为什么把 php.ini 放进 DocumentRoot 是个坏主意

php.ini 本不该被 Web 服务器读取或提供服务——它是 PHP 解释器启动时加载的全局配置文件，由 PHP-CGI/FPM 进程读取，和 Apache 的 DocumentRoot 完全无关。把它放进 /var/www/html/ 唯一结果就是：增大被误暴露的风险。

正确路径应为：

Debian/Ubuntu：/etc/php/*/apache2/php.ini（* 为版本号，如 8.1）
CentOS/RHEL：/etc/php.ini 或 /etc/php.d/*.ini
确认位置可执行：php --ini（CLI）或 phpinfo() 页面中的 “Loaded Configuration File”

如果项目需要自定义配置（如上传限制、错误报告），应使用 php_admin_value 在 Apache 的 VirtualHost 中设置，而非复制一份 php.ini 到网站目录。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

防止 config.php 被直接下载的最小安全配置

很多 PHP 应用（如 Laravel、CodeIgniter）依赖 config.php 或类似文件存放数据库凭证。即使文件后缀是 .php，Apache 默认仍会执行它；但若因语法错误、MIME 类型误配或模块未启用，可能退化为“下载源码”——导致代码与密码一起泄露。

防御手段不是靠“文件名隐藏”，而是双重保险：

确保 PHP 模块已启用：a2enmod php8.1（以实际版本为准），并确认 AddType application/x-httpd-php .php 存在于配置中
在 config.php 开头强制退出（防御执行失败场景）：
```
<?php die('Access denied.'); ?>
```
更彻底的方式：把 config.php 移出 DocumentRoot，例如放到 /var/www/app/config/，再在入口脚本中 require '/var/www/app/config/database.php';

常见错误：.htaccess 失效或被覆盖的排查点

加了 FilesMatch 却仍能下载 .env？可能是以下任一原因：

Apache 主配置中 AllowOverride 设为 None，导致 .htaccess 完全不生效；应设为 All 或至少 Limit
PHP 运行模式为 FPM（非 mod_php），此时 .htaccess 对 PHP 相关行为无控制力——需改用 Nginx 的 location ~ \.env$ 或在 Apache 中用 LocationMatch
拼写错误：写成 .envi 或漏掉转义点号，正则变成 .env$ → 匹配任意字符+env，极危险
SELinux 启用时，即使 Apache 配置正确，也可能因上下文限制拒绝读取某些路径，可用 ausearch -m avc -ts recent 查看拦截日志