ThinkPHP如何保护敏感目录不被访问_目录权限与防盗链设置-ThinkPHP-PHP中文网

必须禁止web访问的目录有application、config、runtime、common（若存在）、extend（含敏感配置），因其存储核心逻辑、数据库密码、日志缓存等，直接暴露将导致严重安全风险。

thinkphp如何保护敏感目录不被访问_目录权限与防盗链设置

ThinkPHP 项目根目录下哪些目录必须禁止 Web 访问

直接答案：application、config、runtime、common（如果存在）、extend（若含敏感配置）这些目录，**绝不能通过浏览器 URL 直接访问**。它们存放了应用逻辑、数据库配置、缓存/日志文件，一旦暴露，轻则泄露数据库密码，重则被上传 WebShell。

常见错误现象：http://yourdomain.com/application/database.php 能直接打开并显示明文配置；http://yourdomain.com/runtime/log/ 列出所有日志文件甚至可下载。

Web 服务器默认允许目录索引（如 Apache 的 Options Indexes 或 Nginx 未禁用 autoindex），会导致目录遍历
ThinkPHP 的入口文件 public/index.php 是唯一合法入口，但其他目录没做路由拦截，靠 Web 服务器层防护
本地开发时用 PHP 内置服务器（php -S）不带路由规则，会直接暴露所有文件 —— 这不是 ThinkPHP 的锅，是启动方式错了

Apache 下用 .htaccess 禁止敏感目录访问

核心思路：在项目根目录（即包含 application、public 的那层）放 .htaccess，对每个敏感目录单独加 Deny from all。别指望一个规则管全部，ThinkPHP 目录结构可能因版本或定制而异。

典型配置示例（放在项目根目录）：

<ifmodule mod_rewrite.c><directory>
        Require all denied
    </directory><directory>
        Require all denied
    </directory><directory>
        Require all denied
    </directory><directory>
        Require all denied
    </directory></ifmodule>

必须确认服务器启用了 mod_rewrite 且 AllowOverride All 已在虚拟主机配置中开启，否则 .htaccess 完全不生效
ThinkPHP 6+ 默认使用 app 替代 application，注意核对实际目录名，写错就等于没防
别把 .htaccess 放进 public/ 目录 —— 它只对所在目录及子目录生效，根目录的规则才覆盖 application 等同级目录

Nginx 中 location 匹配要避开 rewrite 陷阱

Nginx 没有 .htaccess，所有规则写在 server 块里。关键点：用 location ^~ 做前缀精确匹配，**不能用 location ~ 正则匹配敏感目录** —— 因为正则优先级低于 ^~，而 ThinkPHP 的通用 rewrite 规则（如 try_files）常位于正则块中，会导致“禁止访问”被绕过。

正确写法（在 server 块内，位于 root 指令之后）：

location ^~ /application/ { deny all; }
location ^~ /config/      { deny all; }
location ^~ /runtime/     { deny all; }
location ^~ /common/      { deny all; }

^~ 表示“前缀匹配且不再检查正则”，确保这些规则绝对优先执行
路径末尾的 / 必须带上，否则 /application.php 这类文件也会被误拦
如果用了 ThinkPHP 的多应用模式，app 目录名可能不同，得同步改 location 路径
某些运维习惯在 location / 里写 try_files $uri $uri/ /index.php?$query_string，这个本身不危险，但必须保证上面的 deny all 规则在它之前 —— Nginx 按配置顺序匹配

防盗链只是补充，别指望它防目录遍历

防盗链（valid_referers）只能限制图片/CSS/JS 等静态资源被外站引用，对 /application/database.php 这种 PHP 文件完全无效 —— 浏览器访问时 referer 可伪造，且命令行 curl 根本不带 referer。

如果你看到网上教程让在 location ~ \.php$ 里加防盗链，那是错的：PHP 脚本不该被直接访问，该被 deny all，而不是“看 referer 再决定给不给”
真正需要防盗链的是 public/ 下的上传目录（如 public/uploads/），防止别人盗链你的用户头像或附件，这和保护 runtime 是两回事
别在 public/ 里放 .htaccess 或写 Nginx location 去拦 /application/ —— public 是 Web 根目录，它根本看不到上层目录，拦了个寂寞