ThinkPHP怎么禁止runtime和vendor目录被访问-ThinkPHP-PHP中文网

ThinkPHP 的 runtime 和 vendor 目录必须移出 Web 根目录并配置服务器禁止访问，否则敏感信息可能泄露；推荐路径隔离优先，辅以 Nginx/Apache 显式拒绝规则，部署后须验证 403/404 响应。

thinkphp怎么禁止runtime和vendor目录被访问

ThinkPHP 的 runtime 和 vendor 目录绝不能被 Web 服务器直接访问，否则日志文件、缓存内容、数据库凭证、SQL 原文、Composer 依赖结构等敏感信息可能被下载或读取，造成严重安全风险。禁止访问不是“可选优化”，而是上线前必须完成的基础防护。

核心原则：路径隔离优先，Web 层拦截兜底
最可靠的方式是把 runtime 和 vendor 移出 Web 根目录（如 Nginx 的 root 或 Apache 的 DocumentRoot），从源头上消除可访问性。如果受环境限制无法移出（例如部分共享主机），再通过 Web 服务器配置显式拒绝访问。

确保 runtime 目录不在 Web 可访问路径下

不要放在 public/ 下，也不要放在网站根目录（如 /htdocs/runtime、/www/runtime）；
推荐路径示例：/data/www/myapp-runtime/（Linux）或 D:\www\runtime\（Windows），确保该路径不在 Web 服务器任何 root、alias 或 location 配置范围内；
在 public/index.php 最顶部（早于 require autoload）定义：
```
define('RUNTIME_PATH', '/data/www/myapp-runtime/');
```
定义后手动创建目录，并赋予 Web 进程用户（如 www-data、nginx、IIS_IUSRS）读写权限（Linux 建议 755 目录 + 644 文件；Windows 检查 ACL）；
删除旧 runtime/ 目录，让框架重建，避免路径残留导致缓存错乱。

用 Web 服务器配置彻底屏蔽 vendor 和 runtime 访问

Nginx 配置（推荐加在 server 块内）

location ^~ /runtime {
    deny all;
}
location ^~ /vendor {
    deny all;
}
# 如果项目根目录还包含其他敏感目录，一并禁止
location ^~ /application { deny all; }
location ^~ /config     { deny all; }
location ^~ /route      { deny all; }
location ^~ /extend     { deny all; }

⚠️ 注意：^~ 表示前缀匹配且优先级高于正则，比 location ~ /runtime 更稳妥，防止绕过。

Apache 配置（放入项目根目录 `.htaccess`，需开启 `mod_rewrite`）

<ifmodule mod_rewrite.c>
    RewriteEngine On
    RewriteRule ^runtime - [F,L]
    RewriteRule ^vendor  - [F,L]
    RewriteRule ^application - [F,L]
    RewriteRule ^config      - [F,L]
    RewriteRule ^route       - [F,L]
    RewriteRule ^extend      - [F,L]

    # 常规重写规则放最后
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^(.*)$ index.php/$1 [QSA,PT,L]
</ifmodule>

✅ 确保 .htaccess 文件本身未被禁用（Apache 需设置 AllowOverride All）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

补充加固手段（非替代，但建议启用）

关闭调试模式：config/app.php 中设 'app_debug' => false；
禁用危险模块访问：在 config/app.php 的 deny_module_list 中加入 'runtime', 'vendor'（注意该配置仅对 ThinkPHP 路由层生效，不能替代 Web 层拦截）；
若使用 CLI 或 Swoole，确认 RUNTIME_PATH 在所有运行模式下一致（入口文件定义最可靠）；
部署后主动测试：访问 https://yoursite.com/runtime/log/ 和 https://yoursite.com/vendor/autoload.php，应返回 403 或 404，而非文件内容或目录列表。