nginx的allow与deny指令实现ip访问控制，按配置顺序从上至下匹配，首次命中即终止；白名单需先allow后deny all，规则支持ip、cidr及正则，作用域为http/server/location，且需重载生效。
phpEnv 是 Windows 下的集成环境套件，底层用的是 Nginx（非 Apache），所以它的 IP 或 URL 拦截逻辑完全遵循 Nginx 原生规则，不能套用 XAMPP 或 WAMP 的 .htaccess 思路。直接改 nginx.conf 或站点配置文件即可生效，无需重启整个 phpEnv 服务，重载 Nginx 就行。
在 phpEnv 的 Nginx 配置中写 deny 规则
phpEnv 的站点配置文件通常位于：C:\phpEnv\nginx\vhost\你的域名.conf。打开后，在 location / { } 块内或单独的 location 块中添加 deny 指令：
- 屏蔽单个 IP：
deny 192.168.1.100; - 屏蔽整个 C 段：
deny 192.168.50.0/24; - 必须以
deny all;收尾（白名单场景），否则前面的allow不会生效 - 规则顺序敏感：Nginx 从上到下匹配，遇到第一个匹配就终止，
deny必须写在allow后面（白名单）或前面（黑名单）
拦截含非法字符的 URL（比如 ../、base64、; 等）
phpEnv 的 Nginx 默认不开启 ngx_http_rewrite_module 的高级正则支持？其实它默认就带 —— 只要你在 location 块里用 if + $request_uri 就能过滤。常见攻击路径如目录穿越、SQL 注入特征可直接拦截：
- 防目录遍历：
if ($request_uri ~* "\.\./") { return 403; } - 防 base64 注入：
if ($request_uri ~* "base64") { return 403; } - 防分号命令拼接：
if ($request_uri ~* ";") { return 403; } - 注意：
if不能放在server级顶层，必须嵌套在location块内，否则会报错 “directive is not allowed here”
用 include 外部文件管理大量黑名单 IP
当要封的 IP 超过 5 个，硬编码在配置里难维护。phpEnv 支持 include，推荐把规则抽出来：
- 新建文件：
C:\phpEnv\nginx\conf\blacklist.conf - 内容示例：
deny 203.0.113.5;、deny 198.51.100.0/24;、deny all; - 在站点配置的
location / { }内插入：include C:/phpEnv/nginx/conf/blacklist.conf;（Windows 路径用正斜杠或双反斜杠） - 修改后点 phpEnv 主界面右上角「重载 Nginx」，不要点「重启」—— 否则可能中断 PHP-FPM 进程
真实客户端 IP 获取失败导致黑名单失效
如果你用 phpEnv 做本地开发测试，一般没问题；但若前端挂了代理（比如公司出口网关、或你本机开了 Charles/Fiddler），$remote_addr 就不是真实用户 IP，而是代理地址，deny 就会误判或失效：
- 确认是否走代理：在 PHP 中打印
$_SERVER['REMOTE_ADDR']，看是不是127.0.0.1或内网地址 - 若需还原真实 IP，得启用
real_ip_module（phpEnv 自带 Nginx 通常已编译该模块），并在http块加：set_real_ip_from 127.0.0.1;、real_ip_header X-Forwarded-For; - 但仅限你明确控制代理行为时才开 —— 开错会导致所有请求被识别为同一个 IP
最易被忽略的一点：phpEnv 的 Nginx 配置修改后，必须点「重载 Nginx」，而不是「重启 phpEnv」；且所有 if 和 deny 规则都依赖语法正确，一个分号漏写或路径写错，nginx -t 会静默失败，但 phpEnv 界面不报错 —— 建议手动进 C:\phpEnv\nginx 目录执行 nginx.exe -t 验证。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
