在不允许文件放至htdocs外的主机上安装Yii2的方案咨询

核心解决方向 #

由于无法将敏感文件夹移至htdocs外，我们通过限制敏感目录直接访问和调整web根目录指向来实现安全安装，同时保证Yii2正常运行。

1. 用.htaccess禁止敏感目录访问 #

在config、vendor、runtime、modules等敏感文件夹中分别创建.htaccess文件，写入以下内容：

# Apache 2.2及以下版本
Deny from all

# Apache 2.4+版本（二选一即可）
# Require all denied

这样直接访问www.my_app.com/vendor这类路径时，会返回403禁止访问，无法查看文件列表。

2. 调整主机web根目录指向Yii2的web文件夹 #

Yii2的所有前端访问文件都集中在web目录（基础版），高级版则分为frontend/web和backend/web。在Byhost的控制面板中，将域名的web根目录设置为htdocs/web（基础版）或对应高级版的web目录。

设置完成后，用户访问域名时会直接进入web目录，而config、vendor等文件夹处于web目录的上级，虽然仍在htdocs内，但无法通过域名直接访问，只能由Yii2内部逻辑调用，从根源避免暴露风险。

3. 全局禁用目录列表功能 #

在htdocs根目录（或web目录）的.htaccess中添加以下代码，彻底关闭目录列表：

Options -Indexes

即使某个文件夹没有设置单独的.htaccess，也不会列出其中的文件内容。

4. 强化配置文件安全 #

• 确保config目录下的所有配置文件均为.php格式，避免纯文本配置被直接读取
• 生产环境下关闭Yii2的调试模式，禁止在配置文件中输出调试信息

安装流程参考 #

1. 将Yii2基础版/高级版完整包上传至htdocs目录
2. 对所有敏感目录添加上述.htaccess文件
3. 在主机控制面板修改web根目录指向对应Yii2的web文件夹
4. 执行composer install（主机支持composer则直接执行，否则本地安装后上传vendor目录）
5. 完成Yii2的初始化配置即可正常运行

内容的提问来源于stack exchange，提问作者Tierra Perdia