宝塔面板如何配置核心敏感文件强制隐藏防止数据库信息泄露-php教程-PHP中文网

宝塔面板无法强制隐藏敏感文件，必须通过nginx/apache配置屏蔽路径、关闭php错误显示并验证规则生效：nginx加location正则deny，apache用filesmatch禁止访问，php设display_errors=off，最后curl测试返回403且错误页不泄密。

宝塔面板如何配置核心敏感文件强制隐藏防止数据库信息泄露

宝塔面板本身不提供“强制隐藏敏感文件”的内置功能，所有文件可见性控制必须依赖系统级权限、Web服务器配置或应用层防护，直接靠面板点几下是做不到的。

很多人误以为在「网站设置 → 防盗链」或「文件管理 → 权限设置」里把 .env 或 config.php 文件设为 600 就万事大吉。其实不然：

进入宝塔【网站】→【设置】→【配置文件】，在 server 块内 location / 上方插入以下规则：

location ~* \.(env|ini|log|sh|sql|bak|swp|git|htaccess|htpasswd|conf|yml|yaml|xml|json)$ {
    deny all;
}

说明：

若使用 Apache，在站点配置的 <virtualhost></virtualhost> 块内添加：

<filesmatch>
    Require all denied
</filesmatch>

注意：

Apache 2.4+ 必须用 Require all denied，Order deny,allow 已废弃且无效
该配置需放在 <directory></directory> 块内或主 <virtualhost></virtualhost> 中，不能丢在 .htaccess 里——因为 .htaccess 本身也是要被保护的目标文件
改完要点「重载 Apache」，不是「重启」；重启会中断当前连接

即使 Web 服务器屏蔽了文件访问，PHP 自身错误也可能暴露敏感内容。务必检查并修改：

进入【软件管理】→ 找到 PHP 版本 → 【设置】→【配置修改】，确认 php.ini 中：
display_errors = Off
log_errors = On
error_log = /www/wwwlogs/php_error.log
检查站点根目录是否存在 .user.ini，它可能覆盖全局设置，删掉或同步修改其中的 display_errors
WordPress 等 CMS 常自带调试开关，确保 WP_DEBUG 在生产环境为 false