phpEnv配置Nginx禁止访问.git和.svn phpEnv源码安全-php教程-PHP中文网

phpenv 的 nginx 配置文件位于 c:\phpenv\nginx\conf\vhosts\ 下对应站点的 .conf 文件；需在 server 块顶层添加 location ~ /. { deny all; } 和 location ~ ^/(.git|.svn|.hg|.project|composer.json|package.json)$ { deny all; }，并确保 location ~ .php$ 正确配置且有兜底规则 location ~* ^/.+.php$ { try_files $uri =404; }，修改后须重载 nginx。

phpenv配置nginx禁止访问.git和.svn phpenv源码安全

phpEnv 是一套本地 PHP 开发环境工具，常用于 Windows 下快速搭建 Apache/Nginx + PHP + MySQL 组合。它默认将网站根目录设为 www 或 htdocs 子目录，但不会自动封禁 .git、.svn 等敏感目录——一旦这些目录被意外暴露，攻击者可直接下载完整源码。

phpEnv 的 Nginx 配置文件在哪改

phpEnv 的 Nginx 配置实际由它生成并托管，路径通常是：C:\phpEnv\nginx\conf\vhosts\your-site.conf（或 default.conf）。不要改 nginx.conf 主配置，否则升级 phpEnv 时容易被覆盖。直接编辑对应站点的 vhosts 下的 conf 文件即可。

修改前务必备份原文件；改完需在 phpEnv 控制面板中点击「重载 Nginx」或手动执行：nginx -s reload（进入 C:\phpEnv\nginx\ 目录下运行）。

location ~ /\. { deny all; } 必须放在最外层 server 块里

很多用户把这条规则塞进某个 location / 里面，结果无效——因为正则匹配的 location ~ \. 必须和 location / 并列，且优先级高于前缀匹配。正确位置示例：

server {
    listen 80;
    server_name localhost;
    root "C:/phpEnv/www";
<pre class="brush:php;toolbar:false;"># ✅ 正确：独立 location，放 server 块顶层
location ~ /\. {
    deny all;
}

# ✅ 同时封禁常见版本控制目录（注意 ^/ 开头）
location ~ ^/(.git|.svn|.hg|.project|composer.json|package.json)$ {
    deny all;
}

location / {
    try_files $uri $uri/ /index.php?$args;
}

location ~ \.php$ {
    include fastcgi_params;
    fastcgi_pass 127.0.0.1:9000;
}

}

Volcengine Digital Human Video Generator

火山引擎数字人视频生成技能。用户上传照片并提供对白或配音文案后，系统自动完成形象创建、TTS配音（性别检测与多音色匹配）及视频合成，并将结果返回。触发词：数字人、视频合成、口播视频、数字人视频。

下载

location ~ /\. { deny all; } 拦所有以 . 开头的路径，包括 /.git/config、/.env
location ~ ^/(.git|.svn) 是额外加固，防止某些代理或重写绕过点号规则
这两条都不能放在 location / 内部，否则 Nginx 不会匹配到

为什么 .git 目录还能被访问？检查这三个地方

即使加了规则，仍能打开 http://localhost/.git/config，大概率是以下任一原因：

规则写在了错误的 server 块里（比如写在了另一个未启用的虚拟主机配置中）
phpEnv 启用了「多站点」但你改的是 default.conf，而当前访问走的是另一个 vhost
浏览器或代理缓存了 200 响应，用隐身窗口或 curl -I http://localhost/.git/config 直接测 HTTP 头
Windows 文件系统权限允许 IIS 或其他服务接管了该路径（少见，但若装过 XAMPP 可能冲突）

PHP 源码泄露不止靠 .git，还要防 .php 文件裸奔

phpEnv 默认用 PHP-FPM，但如果 location ~ \.php$ 配置缺失或顺序错乱，用户请求 /config.php 会直接返回源码文本——这不是 bug，是 Nginx 把它当静态文件读了。

务必确认你的 vhost 中有且仅有如下结构（顺序不能颠倒）：

location ~ \.php$ {
    include fastcgi_params;
    fastcgi_pass 127.0.0.1:9000;
    fastcgi_index index.php;
}
<h1>⚠️ 关键补丁：堵住没被 fastcgi 处理的 .php 请求</h1><p>location ~* ^/.+.php$ {
try_files $uri =404;
}</p>

第二段 location ~* ^/.+\.php$ 是兜底：只要 URL 路径含 .php 且前面没被上面的 ~ \.php$ 匹配到（比如路径带多余斜杠或编码），就直接 404，不给任何机会返回源码。

真实踩坑点：phpEnv 某些旧版模板里，try_files 只写了 $uri $uri/ /index.php?$args，漏掉了对孤立 .php 文件的拦截，这个细节极易被忽略。