php 8.3 的 open_basedir 配置有效但需重启 php-fpm 才生效，宝塔默认使用 .user.ini 且路径须以斜杠结尾、用英文冒号分隔，验证须执行代码而非依赖面板显示。
open_basedir 在 PHP 8.3 里不是“无效”，而是没被读到
PHP 8.3 的 open_basedir 配置本身完全有效，但你改了却没生效，大概率是 PHP-FPM 进程压根没加载新配置。PHP 8.3 沿用旧机制：它只在进程启动时读一次 .user.ini 或 php.ini，reload 不触发重读，必须 restart。
-
user_ini.filename被设为空或非.user.ini（比如改成php.ini）→ PHP 直接跳过站点级配置 -
user_ini.cache_ttl过大（默认 300 秒），改完.user.ini后等不及缓存过期就去测试 - 当前网站实际走的是 Apache mod_php 模式（而非 PHP-FPM），而
.user.ini对 mod_php 无效
宝塔下 PHP 8.3 默认读的是 .user.ini，不是 php.ini
你在宝塔「网站设置 → PHP 版本」里勾选「防跨站攻击」，面板会自动生成并维护站点根目录下的 .user.ini。这个文件优先级高于全局 php.ini，且只作用于当前站点——所以别去动 /usr/local/php/83/etc/php.ini，改了也白改。
- 确认路径写法：多个路径必须用英文冒号
:分隔，每段结尾带斜杠，例如/www/wwwroot/site.com/:/tmp/ - 框架如 Laravel/ThinkPHP 入口在
public/，但需加载上层vendor/，必须把根目录和public/都加进去 - 编辑前若提示“只读”，先执行
chattr -i .user.ini；保存后立刻chattr +i .user.ini锁定
验证 open_basedir 是否真生效的唯一可靠方式
别信面板显示或 reload 日志，直接跑代码验证：
echo ini_get('open_basedir');
如果输出为空，说明 PHP 没读到任何 open_basedir 配置；如果输出和你写的不一致，说明被更高优先级配置覆盖了（比如 Nginx 的 fastcgi_param PHP_VALUE 或 Apache 的 php_admin_value）。
- 临时触发越界访问：
file_get_contents('/etc/passwd')，若报open_basedir restriction in effect才算生效；若报 Permission denied 或内容，说明限制根本没开 -
ini_set('open_basedir', ...)在 PHP-FPM 下基本无效，且多数生产环境已禁用该函数
PHP 8.3 下最常被忽略的细节
路径是前缀匹配，不是精确匹配。比如设成 /www/wwwroot/site.com，那 /www/wwwroot/site.com123/file.php 也会被允许——必须加尾部斜杠 /www/wwwroot/site.com/ 才真正限定到该目录及其子目录。
软链接（symlink）不会被解析真实路径，只检查链接文件自身所在路径是否在白名单内。如果你用 ln -s /real/path vendor，那 /real/path 不在 open_basedir 里也没用。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
