禁用危险函数可降低PHP安全风险，通过修改php.ini中disable_functions并重启服务生效；启用OpenSSL扩展并配置HTTPS重定向保障传输安全；设置open_basedir限制文件访问路径防止越权读取；关闭display_errors并开启日志记录避免敏感信息泄露；及时升级PHP版本并安装Suhosin补丁增强内核防护能力。
如果您在部署PHP应用时发现存在代码执行漏洞或文件包含风险，可能是由于PHP运行环境未进行安全加固。以下是搭建与配置PHP安全运行环境的具体步骤：
一、禁用危险函数
PHP中部分函数可能被攻击者利用来执行系统命令或读取敏感文件，通过禁用这些函数可有效降低安全风险。
1、打开php.ini配置文件，定位到disable_functions指令行。
2、在该指令后添加需禁用的函数列表，使用逗号分隔。例如：exec,system,passthru,shell_exec,proc_open,popen,eval,assert,symlink,link,putenv。
立即学习“PHP免费学习笔记（深入）”；
3、保存并重启Web服务使配置生效。
二、启用OpenSSL扩展并强制HTTPS传输
确保数据在传输过程中加密，防止中间人攻击和敏感信息泄露。
1、编辑php.ini文件，取消注释或添加extension=openssl。
2、在Web服务器（如Nginx或Apache）中配置SSL证书，并设置HTTP请求自动跳转至HTTPS。
3、在PHP应用入口文件中加入判断逻辑，若非HTTPS则重定向，例如：if ($_SERVER['HTTPS'] !== 'on') { header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']); exit(); }。
三、配置open_basedir限制文件访问范围
通过设定脚本可访问的目录范围，防止跨目录文件读取或包含攻击。
1、在php.ini中找到open_basedir参数，将其值设为网站根目录路径，如：/var/www/html/:/tmp/。
2、若使用虚拟主机，可在对应站点配置中单独设置此选项以实现隔离。
3、修改完成后重启PHP服务进程。
四、关闭错误信息显示并记录日志
避免将数据库结构、文件路径等敏感信息暴露给客户端用户。
1、在php.ini中将display_errors设为Off，同时将log_errors设为On。
2、指定错误日志输出路径，例如：error_log = /var/log/php_errors.log。
3、确保日志文件所在目录具备正确权限，仅允许管理员读取，防止被恶意下载。
五、更新PHP版本并安装Suhosin补丁
旧版PHP可能存在已知漏洞，及时升级可修复安全缺陷；Suhosin能增强PHP内核防护能力。
1、检查当前PHP版本，访问官网下载最新稳定版并完成升级。
2、从官方源获取Suhosin扩展，编译安装至PHP环境中。
3、在php.ini中加载suhosin.so模块，并根据需求调整保护级别参数。
