PHP虚拟目录本身不直接暴露源码，真正风险来自配置不当导致的解析失败或路径可访问；必须确保.php文件被正确解析而非下载、敏感文件移出可访问路径、拦截敏感扩展名、关闭目录浏览并隐藏错误信息。

PHP虚拟目录本身不直接暴露源码，真正风险来自配置不当导致的解析失败或路径可访问。核心是让服务器只执行PHP，不返回源码；同时确保敏感文件根本不在可被请求的路径里。

确保PHP文件被正确解析而非下载

虚拟目录若未关联PHP处理器，用户访问.php文件时会看到纯文本源码。必须确认：

• Nginx中location ~ \.php$块存在且正确转发到PHP-FPM（如fastcgi_pass 127.0.0.1:9000）
• Apache已启用mod_php或配置了SetHandler "proxy:fcgi://127.0.0.1:9000"
• 测试访问一个PHP文件，返回的是执行结果（如phpinfo()输出），不是源代码

把敏感文件移出虚拟目录可访问范围

虚拟目录的根路径（root或DocumentRoot）决定了哪些文件能被URL直接请求。安全做法是：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 仅将index.php和静态资源（CSS/JS/图片）放在虚拟目录下
• 把config.php、vendor/、app/等所有业务逻辑文件放在其上级目录（如/var/www/myapp/），虚拟目录只指向/var/www/myapp/public/
• 这样即使URL拼出/config.php，服务器也找不到该文件，返回404

禁止访问常见敏感扩展名

备份文件、配置文件、日志等一旦被上传到虚拟目录，极易被猜解访问。需在虚拟主机配置中显式拦截：

• Apache：Require all denied
• Nginx：location ~ \.(env|ini|log|bak|dist|yml|yaml|sql|conf)$ { return 404; }
• 特别注意隐藏文件：location ~ /\. { return 404; } 阻止.git、.htaccess等被读取

关闭目录浏览并限制错误信息

防止攻击者通过目录路径试探文件结构：

• Apache：确保虚拟主机中包含Options -Indexes，禁用自动索引
• Nginx：默认不开启目录浏览，但要检查没有autoindex on;指令
• PHP层面：设display_errors = Off、expose_php = Off，避免泄露PHP版本和错误路径

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！