phpEnv站点配置IP黑白名单限制访问-php教程-PHP中文网

phpenv不提供图形化ip白名单开关，所有限制必须手动配置nginx/apache或php入口逻辑；nginx层allow/deny最高效，需写在server块内location外，注意顺序与https端口同步，php层校验须确保remote_addr为真实ip。

phpenv站点配置ip黑白名单限制访问

phpEnv 不提供图形化 IP 白名单开关，所有限制必须手动配置 Web 服务器层（Nginx 或 Apache）或在 PHP 入口逻辑中实现；直接改 php.ini 或 phpEnv 面板设置无效。

Nginx 配置白名单（推荐，高效且不进 PHP）

这是最常用、最安全的方式：请求在到达 PHP 解析器前就被 Nginx 拦截，零性能损耗。

进入 phpEnv 站点配置目录，通常为 C:\phpEnv\www\your-site\conf\nginx.conf（Windows）或 /usr/local/phpenv/www/your-site/conf/nginx.conf（Linux）
在 server 块内、任意 location 外添加规则（不要写在 location ~ \.php$ 里面）：

allow 192.168.1.100;
allow 2001:db8::1;
deny all;

注意顺序：allow 必须在 deny all 之前，否则全部被拒
IPv6 地址无需方括号包裹（phpEnv 默认 Nginx ≥1.20，支持原生格式）
若站点启用了 HTTPS，确保该段配置同时出现在 listen 443 ssl 对应的 server 块中

Apache .htaccess 方式（仅限 phpEnv 切换为 Apache 模式）

phpEnv 支持切换 Web 服务器，但默认是 Nginx；若已切至 Apache，则可用此方式，无需重启服务。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

在站点根目录（如 C:\phpEnv\www\your-site\）新建或编辑 .htaccess
确保启用重写引擎，并使用 Require 指令（Apache 2.4+ 语法）：

RewriteEngine On
Require ip 192.168.1.100
Require ip 10.0.0.0/8

不支持 Order Allow,Deny 这类旧语法（phpEnv Apache 版本通常 ≥2.4）
多条 Require 是“或”关系，满足任一即放行
若规则不生效，检查 Apache 是否加载了 mod_authz_core 和 mod_access_compat

PHP 层校验真实 IP（需防代理头伪造）

适用于需动态读取数据库白名单、或临时加一层兜底防护的场景；但必须确认 $_SERVER['REMOTE_ADDR'] 是真实客户端 IP，否则极易绕过。

phpEnv 默认未配置 real_ip_header，所以 $_SERVER['REMOTE_ADDR'] 就是 Nginx 的直连 IP（即反向代理自身），不是用户真实 IP
若你已在 Nginx 配置中加了 set_real_ip_from 和 real_ip_header X-Real-IP，那 PHP 中的 $_SERVER['REMOTE_ADDR'] 才可信
否则，应避免使用 $_SERVER['HTTP_X_FORWARDED_FOR'] —— 它可被任意伪造，例如发个请求头 X-Forwarded-For: 1.2.3.4 就能绕过白名单
入口文件（如 index.php）顶部加判断示例：

$allowed = ['127.0.0.1', '192.168.1.100'];
$ip = $_SERVER['REMOTE_ADDR'] ?? '';
if (!in_array($ip, $allowed)) {
    http_response_code(403);
    exit('Forbidden');
}

常见错误：为什么白名单总不生效？

多数失效不是代码写错，而是环境认知偏差。

deny all 写在 allow 前面 → 所有请求立即匹配 deny，后续 allow 不执行
HTTPS 站点只在 80 端口 server 块里配了白名单，443 块里没复制 → HTTPS 请求全被拒
用 if ($remote_addr = "...") { return 403; } 替代 allow/deny → Nginx 的 if 在 location 外不可靠，且性能差
在 phpEnv 的「PHP 设置」页面里找「IP 限制」选项 → 不存在，那是误导性界面元素
把白名单硬编码在 index.php 里又上传到 GitHub → IP 泄露风险极高