Cpanel环境下递归PHP.ini配置及子域名安全与批量设置咨询

先来说第一个问题：子域名存储在/home/[user]/[folder]/[subdomain]是否安全？

这个存储位置本身是比放在public_html里更安全的，原因很简单：大部分主流web服务器（比如Apache、Nginx）的默认站点根目录都是指向public_html，外部用户或者爬虫根本没办法直接通过domain.com/[子域名文件夹名]访问到这些子域名的文件——这刚好达到了你想要的隐藏效果。

不过要确保绝对安全，还要注意几个细节：

• 权限设置要到位：建议把这些子域名文件夹的权限设为750，文件权限设为640，避免同服务器上的其他用户（如果是虚拟主机环境）能随意读取或修改你的POS系统文件。
• 检查服务器配置：确认没有误把这个目录配置成可访问的站点根，也没有通过rewrite规则、别名等方式意外暴露了这个路径。
• PHP进程权限：如果用的是PHP-FPM，要保证运行PHP的用户权限合适——既能读取这些文件正常运行，又不会拥有过高权限带来风险。

再聊第二个问题：能否通过单个PHP.ini文件批量设置所有子域名的max_input_vars配置？

答案是肯定的，但具体实现要看你的服务器和PHP运行模式，给你几种常用方案：

方案1：用.user.ini文件（通用型，推荐虚拟主机用） #

如果你的PHP版本在5.3.0以上，且运行在CGI/FPM模式下（大多数虚拟主机都是这个配置），可以在所有子域名的父目录/home/[user]/[folder]/下创建一个.user.ini文件，写入：

max_input_vars = 2000

这个文件会递归作用于所有子目录（也就是各个子域名的目录），只要子域名目录里没有单独的.user.ini覆盖这个值，所有子域名都会生效这个配置。

方案2：Apache + mod_php环境 #

如果用的是Apache搭配mod_php，可以：

• 要么在主服务器配置或者虚拟主机的全局配置块里添加统一的指令：

  php_value max_input_vars 2000
  

  只要所有子域名的虚拟主机配置都继承这个全局设置，就能批量生效。
• 要么在/home/[user]/[folder]/目录下放置php.ini，然后确保Apache的配置允许该目录的php.ini生效（需要开启AllowOverride Options或者相关权限）。

方案3：Nginx + PHP-FPM环境 #

这种情况下，配置是按PHP-FPM池来管理的：

• 如果所有子域名共用同一个FPM池，直接修改对应池的配置文件（比如www.conf），添加：

  php_admin_value[max_input_vars] = 2000
  

  重启PHP-FPM后所有子域名都会生效。
• 如果子域名用不同的FPM池，可以把这个配置写成一个单独的include文件，然后在每个池的配置里引入，避免重复修改。

内容的提问来源于stack exchange，提问作者Earvin Bryan S. Co