如何防止PHP项目中的文件包含漏洞LFI_配置open_basedir限制访问路径-php教程-PHP中文网

open_basedir是php文件系统访问的强制边界线，非补丁；它通过前缀匹配限制所有文件操作函数（如require、file_get_contents），路径末尾必须加斜杠，多路径用冒号分隔，配置后需重启php服务生效。

如何防止php项目中的文件包含漏洞lfi_配置open_basedir限制访问路径

open_basedir不是补丁，是边界线

它不修复LFI漏洞本身，而是让漏洞利用失败——哪怕include($_GET['page'])这种明显错误的代码执行了，PHP也会在文件系统层直接拦截越界访问。关键在于：open_basedir生效后，所有文件操作函数（file_get_contents、require、fopen等）都受约束，但system、exec这类命令执行函数不受限（所以禁用它们仍是必须的）。

配置时路径末尾必须带斜杠

这是最容易踩的坑。写成 open_basedir = /var/www/html，实际允许访问 /var/www/html_bak 或 /var/www/html_config.php ——因为它是前缀匹配，不是目录精确匹配。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

正确写法：open_basedir = /var/www/html/:/tmp/
多个路径用英文冒号分隔（Linux/macOS）或分号（Windows）
Web根目录（如public/）和临时目录（/tmp）通常都要包含，否则日志写入、上传临时文件会失败
不要把父目录设宽泛，比如/var/www/比/var/www/myapp/危险得多

宝塔面板里改完要重启PHP服务

勾选“防跨站攻击”只是修改了open_basedir值，但PHP-FPM进程不会自动重载配置。不重启，错误依旧存在，且你看到的报错还是旧规则下的路径限制。

错误典型提示：Warning: require(): open_basedir restriction in effect. File(/www/wwwroot/example.com/config.php) is not within the allowed path(s): (/www/wwwroot/example.com/public/:/tmp/)
确认是否生效：在PHP脚本中输出 echo ini_get('open_basedir');
别用ini_set('open_basedir', ...)动态设置——它在大多数生产环境（尤其是FastCGI模式）下被禁用，且无法覆盖已设定的全局值

别依赖`FILE`或`realpath()`推导路径

当项目用符号链接部署（如/www/wwwroot/example.com/current → /www/wwwroot/example.com/releases/20260417），realpath(__DIR__ . '/../config')返回的是物理路径，而open_basedir只认你配置里的逻辑路径（比如/www/wwwroot/example.com/current/）。两者对不上，require就报错。

优先用$_SERVER['DOCUMENT_ROOT']拼接路径，它由Web服务器注入，天然匹配虚拟路径
统一入口（如public/index.php）下，所有请求的$_SERVER['SCRIPT_FILENAME']都指向它，不能用来判断业务模块真实位置
框架（Laravel/ThinkPHP）的自动路径解析若出错，先检查open_basedir是否漏加了vendor/或storage/目录

真正麻烦的从来不是配对open_basedir，而是配完之后，发现某个依赖库悄悄调用了file_get_contents('/proc/self/environ')或者去读/etc/passwd——这些路径根本不在你的业务逻辑里，却因第三方代码触发限制报错。得翻源码、打补丁、或临时放宽范围，而不是盲目删掉限制。