xampp或phpstudy不可用于生产环境，因其默认开启全部调试功能、使用弱口令（如root空密码）、暴露管理界面（/phpmyadmin等），且缺乏细粒度权限控制，公网暴露后24小时内极易被扫描入侵并植入后门。
为什么不能直接用 XAMPP 或 phpStudy 上生产服务器
因为它们默认开启全部调试功能、使用弱口令（如 root 空密码）、暴露管理界面（/phpmyadmin、/dashboard），且不提供细粒度权限控制。在公网暴露的服务器上，这类环境 24 小时内大概率被扫描器盯上并植入后门。
禁止 root 用户直接运行 Web 服务
Apache/Nginx 进程若以 root 身份启动，一旦 PHP 脚本存在远程代码执行漏洞，攻击者就能直接获取服务器最高权限。必须降权运行：
- 确认 Nginx 主配置中
user指令已设置为非特权用户，例如user www-data;（Ubuntu/Debian）或user nginx;（CentOS/RHEL） - 检查
ps aux | grep nginx或ps aux | grep apache2，确保 worker 进程 UID 不是0 - PHP-FPM 池配置（
/etc/php/*/fpm/pool.d/www.conf）中必须显式指定user = www-data和group = www-data，不能依赖默认值
禁用危险的 PHP 函数与配置项
这些函数在绝大多数业务场景中完全不需要，却常成为 RCE 攻击入口：
- 在
php.ini中设置：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec - 关闭远程文件加载：
allow_url_fopen = Off、allow_url_include = Off - 限制脚本最大执行时间与内存：
max_execution_time = 30、memory_limit = 128M（根据实际调低） - 修改后务必重启 PHP-FPM：
sudo systemctl restart php*-fpm（版本号需匹配，如php8.3-fpm）
数据库账户必须按最小权限原则创建
绝不能让网站代码使用 root@localhost 连接 MySQL/MariaDB。正确做法是：
- 登录 MySQL：
mysql -u root -p - 新建专用用户：
CREATE USER 'myapp'@'localhost' IDENTIFIED BY '强密码'; - 仅授权必要库表：
GRANT SELECT,INSERT,UPDATE,DELETE ON myapp_db.* TO 'myapp'@'localhost'; - 立即生效：
FLUSH PRIVILEGES; - 在 PHP 代码中连接时，明确使用该账号，而非复用 root；同时确认
mysqli_connect()或 PDO DSN 中 host 是localhost（走 socket）而非127.0.0.1（走 TCP），避免绕过本地认证限制
真实部署中最容易被忽略的是 PHP-FPM 的 security.limit_extensions 配置——它默认只限制 .php，但若网站允许上传 .phtml 或 .php5 文件，而这个配置没同步更新，就可能绕过解析限制，导致任意代码执行。务必检查并收紧：security.limit_extensions = .php
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
