PHP中PDO连接SQLite需绝对文件路径而非服务器URL的安全疑问

首先得明确：这不是安全漏洞，而是Web服务器工作目录和文件权限的常见误区，我来给你拆解清楚：

为什么相对路径找不到文件？ #

当你在PHP里用相对路径myfile.sqlite时，PDO并不是从index.php所在的目录去找文件，而是从Web服务器的当前工作目录（也就是服务器启动时的默认目录）去查找。比如：

• Apache的默认工作目录可能是/var/www/html（Linux）或者C:\Apache24\htdocs（Windows）
• Nginx、IIS的工作目录也不一定和你的项目文件夹一致

所以哪怕myfile.sqlite和index.php在同一个文件夹，PDO找的却是服务器根目录下的这个文件，自然找不到。

绝对路径为什么能成功？ #

绝对路径（比如D:/Path/To/My/File/myfile.sqlite）直接指定了文件在文件系统中的精确位置，PDO不需要依赖当前工作目录，当然能精准定位到文件。

怎么用相对路径正确连接？ #

不用写死绝对路径，用PHP的__DIR__常量就行——它会返回当前PHP文件（也就是index.php）所在目录的绝对路径。示例代码：

$dbPath = __DIR__ . '/myfile.sqlite';
$pdo = new PDO("sqlite:$dbPath");

这样不管你的项目部署到哪里，都能正确找到同目录下的SQLite文件。

关于你担心的“未授权目录也能连接”的问题 #

这是文件系统权限设置的问题，不是PDO或者SQLite的漏洞：

• 你的Web服务器运行时使用的用户（比如Windows下的IIS_IUSRS、Linux下的www-data）拥有访问D盘根目录的权限，所以PDO能读写那里的文件
• 解决办法：
  • 把SQLite文件放在你的项目目录内，不要放到根目录这类公共位置
  • 调整文件权限：只给Web服务器运行用户分配该文件的读写权限，其他用户禁止访问
  • Windows可以右键文件→属性→安全修改权限列表；Linux则用chown和chmod命令设置

调试小技巧 #

想确认当前工作目录是什么？在index.php里加一行代码：

echo getcwd();

运行后就能看到PDO找文件时的基准目录，瞬间就能明白为什么相对路径失效了。

内容的提问来源于stack exchange，提问作者Myoch