如何安全保护PHP配置文件？存储位置与权限设置方案指导

优先方案：将配置文件放在Web根目录之外 #

这是最可靠的防护手段。Web服务器默认只处理Web根目录内的请求，把配置文件移到Web根外（比如你的Web根是/var/www/html，就把config.php放到/var/www/private_configs/），即使服务器出现PHP解析失效、配置错误等意外情况，外部用户也无法直接访问到这个文件。

引入时建议使用绝对路径避免相对路径的潜在问题，比如：

include '/var/www/private_configs/config.php';

必要加固：配置最小权限（无论放哪都要做） #

即使把文件放到Web根外，也必须设置严格的文件权限，防止服务器上的其他用户（比如同服务器的其他站点用户）读取或修改配置：

• 将文件所有者设为运行PHP的用户（通常是www-data、apache或nginx，取决于你的服务器环境）
• 把文件权限设为600——只有所有者能读写，其他用户完全没有权限

执行命令示例：

chown www-data:www-data /path/to/config.php
chmod 600 /path/to/config.php

迫不得已放Web根内的补救措施 #

如果因为部署限制必须把配置文件留在Web根目录里，一定要加上这些防护：

• 确保配置文件以<?php开头，不要留任何前置空白；结尾可以省略?>，避免意外输出配置内容
• 配置Web服务器直接禁止访问该文件：
  • Nginx：在站点配置里添加

    location = /config.php {
        deny all;
    }
    

  • Apache：在.htaccess或站点配置里添加

    <Files "config.php">
        Require all denied
    </Files>
    

• 可以考虑给配置文件改名（比如改成app-config.xyz），降低被猜测到的概率，但这只能作为辅助手段，不能替代上面的措施。

内容的提问来源于stack exchange，提问作者Mahdi Rashidi