文档教程【免费下载链接】php-the-right-wayAn easy-to-read, quick reference for PHP best practices, accepted coding standards, and links to authoritative tutorials around the Web项目地址https://gitcode.com/gh_mirrors/ph/php-the-right-way点击查看免费下载配置文件是 PHP 应用安全链条上最容易被忽视、却又最致命的一环数据库口令、API Token、加密密钥一旦以明文形式落入他人之手整套应用的安全防线即告瓦解。本指南以《PHP: The Right Way》安全章节Security的官方子文档 配置文件的正确做法 为核心骨架逐条拆解配置存放位置、扩展名选择、访问权限控制、版本控制排除四大最佳实践并给出可直接落地的代码与配置示例帮助你构建一个即使服务器被扫描、源码被泄露也依然安全的配置体系。为什么配置文件是安全软肋在 安全总览 一节中《PHP: The Right Way》开篇就点明Web 安全可以归结为代码与数据的分离——当数据被当作代码执行时会引发 SQL 注入、XSS、文件包含等攻击而当代码被当作数据输出时则会造成源码泄露。配置文件恰好处于这两个风险的交汇点上它包含口令、Token 等高价值敏感数据它常常以.ini、.conf、.json、.yaml等非 PHP 扩展名存放于文档根目录Web 服务器会把它当作普通静态文件任何人拿到 URL 即可下载明文。因此配置文件的安全问题不是会不会被攻击而是何时会被攻击。遵循下面的四项最佳实践是《PHP: The Right Way》给出的最低安全底线。最佳实践一将配置存放于文档根目录之外官方建议将配置信息存放在无法被直接访问的位置通过文件系统引入。所谓无法被直接访问指的是配置文件的物理位置不在 Web 服务器的文档根目录document root之内。例如典型的应用目录结构如下/var/www/myapp/ ├── public/ # 文档根目录唯一对外暴露的目录 │ ├── index.php │ └── css/ ├── config/ # 配置目录位于文档根之外浏览器无法触达 │ └── database.php └── src/ └── ...在这种结构下浏览器请求https://example.com/config/database.php不会命中任何文件因为 URL 映射到的是public/目录。在入口脚本中通过文件系统路径引入即可?php // public/index.php $config require dirname(__DIR__) . /config/database.php;dirname(__DIR__)从public/回溯到应用根目录从而精确拼出配置文件的真实路径。即使未来调整了 Web 服务器根目录、或误将配置文件软链进公开目录引入逻辑也不会受影响。需要警惕的反例很多历史项目把配置文件放在与入口脚本同级的文档根目录下例如config.php与index.php并列。只要服务器配置稍有疏漏例如开启了目录列表、或.php处理被错误映射配置内容就可能被直接读取。最佳实践二若配置必须放在文档根内使用 .php 扩展名官方建议如果必须将配置文件存放在文档根目录中请使用.php扩展名命名。这样即使脚本被直接访问也不会以明文形式输出。这条建议利用了 PHP 的执行模型Web 服务器会把以.php结尾的请求交给 PHP 解释器处理PHP 只输出执行结果而不会输出源码本身。于是放在文档根内的配置文件即使被直接访问也只是执行了一段返回数组的代码不会泄露任何内容。一个被广泛采用的可复制模板适用于直接位于文档根目录的配置?php // config.php —— 位于文档根目录内 // 防御性退出当通过命令行或直接请求访问时直接终止 if (PHP_SAPI ! cli) { http_response_code(403); exit(Access denied.); } // 配置以 return 数组的形式暴露给 require 调用方 return [ db [ host localhost, dbname my_app, user app_user, password getenv(DB_PASSWORD), // 从环境变量读取见最佳实践四 ], api [ token getenv(API_TOKEN), ], ];调用方通过$config require __DIR__ . /config.php;获得该数组。关键点在于文件以?php开头整个文件体都是 PHP 代码使用return数组而非echo/var_dump保证直接访问时页面几乎为空配合PHP_SAPI判断命令行CLI误执行时也能优雅退出而不是打印出一串数组。与明文扩展名的对比若同样内容改存为config.ini或config.confWeb 服务器会将其作为静态资源直接下发浏览器访问即可看到完整的数据库口令。这正是《PHP: The Right Way》要求必须使用 .php 扩展名的根本原因。最佳实践三通过加密与文件系统权限双重保护官方建议配置文件中的信息应通过加密或组/用户文件系统权限加以保护。即使配置文件位于文档根之外也不能假设万事大吉——服务器上的其他进程、同服务器的其他租户、具备服务器 shell 访问权限的维护者都可能读到它。官方推荐两条并行防线文件系统权限组/用户粒度以类 Unix 系统为例将配置目录和文件的所有权与权限收紧到仅运行用户可读# 配置目录与文件仅归运行 PHP 的用户如 www-data所有 chown www-data:www-data /var/www/myapp/config chown www-data:www-data /var/www/myapp/config/database.php # 目录 700仅属主可进入文件 600仅属主可读写 chmod 700 /var/www/myapp/config chmod 600 /var/www/myapp/config/database.php如果 PHP 以 FPM 方式由专属用户运行600已足够若需要运维组成员排障时读取可改为640属主读写、同组只读同时确保该组不包含任何非信任账号。定期用ls -l检查实际权限位避免权限被后续部署流程意外放宽。加密保护敏感字段权限只能防住不该读的人加密则能防住万一读到了的人。对于数据库口令、支付密钥等高价值字段更稳妥的做法是不落盘明文将明文放入环境变量或密钥管理系统如 Docker Secret、云厂商 KMS配置文件中只保留从环境变量读取的代码如上面示例中的getenv(DB_PASSWORD)若必须加密后落盘可选用sodium_crypto_secretbox_*系列函数配合独立存储的密钥解密。《PHP: The Right Way》在 密码散列 一节中反复强调哈希单向与加密可逆是两种不同的操作。配置字段加密属于可逆场景运行时必须还原才能用因此务必妥善保管解密密钥密钥的存放位置本身也要遵循本节的存放原则——不要把密钥和用它加密的密文放在同一个文件里。最佳实践四敏感配置绝不提交进版本控制官方建议不要将包含密码或 API Token 等敏感信息的配置文件提交到源代码控制系统中。配置文件提交进 Git 等版本库的后果是长期且扩散性的仓库历史中的每一次提交都可能残留明文凭据删除当前版本并不能抹除历史记录仓库一旦公开或被克隆凭据即随之泄露且很难证明谁看过CI/CD 流水线、本地开发副本都会同步复制这些凭据扩大了暴露面。标准做法是提交模板、忽略真实值在仓库中提交一份不含敏感值的示例配置如config.example.php字段留空或填占位符并注释说明每个字段的含义通过.gitignore忽略真实的本地配置文件真实值从环境变量或部署时注入。.gitignore示例# 忽略真实配置与本地环境变量文件 config/*.local.php .env .env.*配合环境变量读取的真实配置?php // config/database.local.php —— 已被 .gitignore 忽略 return [ db [ password getenv(DB_PASSWORD) ?: die(DB_PASSWORD is not set), ], ];这样团队协作时只需分发.env.example/config.example.php模板每位开发者各自维护本地真实值生产环境的凭据则由部署平台注入环境变量源码库中始终零凭据。在 php-the-right-way 仓库中观察配置文件的正确姿态本项目PHP: The Right Way 的 GitHub Pages 源码仓库本身就是配置文件安全的正面样本可作为参照观察两类配置文件的分野公开配置——可以入库仓库根目录下的 _config.ymlJekyll 站点配置包含baseurl、高亮器、Markdown 渲染器、插件与排除规则等无任何机密字段、package.json前端依赖清单、Gemfile 与 Gemfile.lockRuby/Jekyll 依赖锁定、Gruntfile.js构建任务定义均属于不含敏感信息的构建与站点配置提交进仓库是安全且必要的因为它们需要随源码分发、保证构建可复现。机密配置——必须隔离数据库口令、API Token、私钥等属于另一类必须走文档根之外 .php扩展名 权限收紧 不入版本控制的完整链路。判断标准很简单这份配置如果被公开会造成什么损失会——则按机密处理不会——才允许入库。关于错误报告的补充提醒即使配置文件做得再安全若生产环境开启了错误展示异常堆栈也可能把配置的目录结构、变量名甚至部分值暴露给访问者。错误报告 一节明确规定生产环境必须display_errors Off、log_errors On把错误细节写进日志而非输出到浏览器同时 数据过滤 与 Register Globals 的历史教训PHP 5.4 起已移除但它导致的全局变量被外部输入覆盖问题至今仍是配置读取时必须警惕的教训共同构成了配置安全之外的纵深防线。一套可直接落地的完整配置方案综合以上四项最佳实践给出一个开箱即用的完整落地清单项目结构文档根 public/ myapp/ ├── public/ # 唯一对外暴露 │ └── index.php # require dirname(__DIR__) . /config/database.php ├── config/ │ ├── database.php # 真实配置chmod 600被 .gitignore 忽略 │ └── database.example.php # 模板入库字段为空/占位符 └── .gitignore# .gitignore config/database.php .env?php // config/database.php —— 真实配置 // 1) 位于文档根之外浏览器无法直接访问 // 2) 使用 .php 扩展名即使被间接读取也不会输出明文 // 3) 敏感值取自环境变量文件本身不落盘任何明文凭据 // 4) 已被 .gitignore 排除不会进入版本控制 if (PHP_SAPI ! cli) { http_response_code(403); exit(Access denied.); } return [ host getenv(DB_HOST) ?: 127.0.0.1, dbname getenv(DB_NAME) ?: my_app, user getenv(DB_USER) ?: app_user, password getenv(DB_PASSWORD), // 未设置时返回 null连接时再校验 ];?php // public/index.php —— 入口脚本 $config require dirname(__DIR__) . /config/database.php; // 校验必需的配置项已就绪 if (empty($config[password])) { throw new RuntimeException(Database password is not configured.); } // 正常使用 $config ...部署后的自检清单每一项都应能在生产环境得到确定回答配置目录是否位于文档根之外尝试直接访问https://站点/配置文件名是否返回 404 或空白若配置被迫留在文档根内文件是否以.php结尾、且直接访问不会输出任何明文内容ls -l查看配置文件权限是否为600或收紧到最小可读范围属主是否为运行用户明文密码、API Token 是否已从仓库与仓库历史中彻底移除.gitignore是否覆盖了所有真实配置路径生产环境是否已关闭display_errors、开启日志记录配置文件安全没有银弹它是一组朴素但必须坚持的习惯放对位置、选对扩展名、收紧权限、管好版本库。把这四项写进团队的项目模板与代码评审清单就能在绝大多数场景下让配置泄露这件事不发生而不是发生了再去补救。赞分享文档教程【免费下载链接】php-the-right-wayAn easy-to-read, quick reference for PHP best practices, accepted coding standards, and links to authoritative tutorials around the Web项目地址https://gitcode.com/gh_mirrors/ph/php-the-right-way点击查看免费下载相关推荐Windows 环境下安装与配置 PHP 开发环境PHP: The Right Way 实战指南Windows 环境下安装与配置 PHP 开发环境PHP: The Right Way 实战指南 本指南基于《PHP: The Right Way》开源项目的文档教程如何快速搞定 Cherry Studio 开发环境配置一个 AI 生产力工具的开源项目实战手记如何快速搞定 Cherry Studio 开发环境配置一个 AI 生产力工具的开源项目实战手记 如果你是一个 AI 产品爱好者一定听说过 Cherry StAI 应用大模型桌面应用本地部署RAGJS The Right Way依赖管理npm与yarn的最佳实践JS The Right Way依赖管理npm与yarn的最佳实践 你是否在JavaScript项目中遇到过依赖地狱安装依赖时版本冲突、构建脚本执行失败文档教程前端上一篇NotepadQQ跨平台开源文本编辑器终极指南下一篇Slick轮播插件终极使用指南打造专业级网站轮播效果创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
