php生产环境必须关闭display_errors、禁用危险函数、隐藏php版本；需配置expose_php=off、display_errors=off、log_errors=on、disable_functions及安全session选项，并严格隔离敏感文件、使用环境变量注入、启用opcache且校验变量。
搭PHP网站，安全和性能不能靠“差不多就行”。很多新手一上来就写功能、调样式，结果上线后慢得打不开，或者某天发现数据库被清空了——问题往往出在起步阶段的配置和习惯里。下面这10个点，不是理论清单，而是真实踩过坑、压过测、扛过流量后总结出的硬核项，每一条都对应一个常见故障场景。
关掉错误显示，但别关掉日志
开发时开 display_errors = On 很方便，但上线第一件事必须改掉。否则用户随便输个错URL，就能看到你的绝对路径、PHP版本、数据库表名，等于把钥匙挂在门把手上。正确做法是：
- display_errors = Off（php.ini 中）
- log_errors = On，并指定 error_log = /var/log/php-errors.log
- 确保日志目录权限为 640，仅 web 用户和 root 可读
禁用危险函数，不是可选项
像 exec、system、shell_exec、proc_open 这类函数，99% 的业务根本用不到。一旦代码存在文件上传或参数拼接漏洞，攻击者就能直接执行服务器命令。在 php.ini 中加这一行：
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,eval,assert
注意：eval() 和 assert() 虽不直接调系统命令，但常被用于动态代码执行，也建议禁用。
OPcache 必须开，且内存要配够
没开 OPcache 的 PHP，每次请求都要重新编译所有 PHP 文件，性能直接打五折。但只写 opcache.enable=1 不够，常见陷阱是：
- opcache.memory_consumption 默认 64M，中型项目（200+ PHP 文件）至少设为 128，大型站建议 256 或 512
- opcache.max_accelerated_files 必须大于你实际 PHP 文件数 × 1.5（用 find /path/to/www -name "*.php" | wc -l 算）
- opcache.revalidate_freq = 60（生产环境别设 0）
- 改完 php.ini 后，必须重启 php-fpm，只重载 Nginx 没用
数据库连接别裸奔，PDO 要设异常模式
用 MySQLi 或 PDO 都可以，但新手常犯两个错：一是用 mysql_connect()（已废弃），二是 PDO 连接后没设错误处理。这样 SQL 出错只会静默失败，查 bug 全靠猜。
正确初始化示例：
$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8mb4", $user, $pass, [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false
]);
关键点：charset=utf8mb4 防止 emoji 存储乱码；EMULATE_PREPARES=false 强制走原生预处理，防注入更彻底。
静态资源必须压缩，HTML 不能漏
Nginx 默认 gzip_types 常漏掉 text/html，结果 HTML 源码明文传输，体积比压缩后大 60%–70%。检查你的 nginx.conf：
gzip on; gzip_types text/plain text/css application/javascript text/xml application/xml application/xml+rss text/javascript application/json text/html;
然后用 curl 验证：curl -H "Accept-Encoding: gzip" -I https://yoursite.com/，看响应头是否有 Content-Encoding: gzip。
上传目录要隔离，且禁止执行 PHP
用户上传的图片、PDF 等文件，绝不能放在 Web 可访问路径下还允许执行 PHP。正确结构是：
- 上传目标设为 /var/www/uploads/（不在 /var/www/html/ 下）
- Nginx 配置中对该路径加限制：location ~ \.php$ { deny all; }
- 同时设置 open_basedir 限制 PHP 只能访问指定目录：open_basedir = /var/www/html:/tmp
密码别自己写加密，用 password_hash() + password_verify()
MD5、SHA1、甚至 base64 都不是加密，是哈希或编码。PHP 自带的 password_hash() 默认用 bcrypt，自带盐值和自适应成本因子，安全性远超手写逻辑。
注册时：
$hash = password_hash($_POST['pwd'], PASSWORD_ARGON2ID); // 推荐 Argon2，若不支持则用 PASSWORD_BCRYPT
登录验证时：
if (password_verify($_POST['pwd'], $stored_hash)) { /* 登录成功 */ }
别存明文，别用 md5(md5($pwd))，那只是“看起来复杂”，实际毫无防护力。
会话安全要设全，尤其 Cookie 属性
默认 session_start() 创建的会话 Cookie 是不安全的。必须手动设置属性：
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1); // 仅 HTTPS 传输
ini_set('session.cookie_samesite', 'Strict'); // 或 'Lax'
session_start();
加上 session_regenerate_id(true) 在登录成功后更换 session ID，防会话固定攻击。
别信前端验证，后端每个输入都当“恶意”处理
JS 表单校验只是提升体验，不能替代后端防护。对所有 $_GET、$_POST、$_FILES 数据，必须：
- 过滤：用 filter_var() 校验邮箱、URL、整数等
- 转义：输出到 HTML 前用 htmlspecialchars()，插入 SQL 前用预处理（非拼接）
- 长度限制：如用户名 ≤ 32 字符，手机号严格 11 位数字
定期更新 PHP 版本，别卡在 7.4 或更早
PHP 8.0+ 带 JIT 编译，性能比 7.4 提升 20%–30%；8.2+ 加强了类型系统与错误提示；8.5.5（最新维护版）修复了多个内存泄漏与反序列化漏洞。停在旧版本，等于主动放弃安全补丁和性能红利。升级前做兼容性测试即可，不必一步到位，但至少保持在当前主版本的最后一个维护小版本（如 8.4.x 或 8.5.x）。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
