1、通过服务器配置和文件路径管理限制直接访问敏感PHP文件；2、利用URL重写隐藏真实脚本路径；3、在脚本中验证用户权限与请求合法性；4、禁用危险PHP函数防止代码执行与信息泄露；5、部署WAF与日志监控防范恶意扫描与入侵行为。
如果您在开发PHP应用时暴露了敏感的文件路径或配置信息，攻击者可能通过直接访问这些地址获取服务器权限或窃取数据。以下是保护PHP地址安全的有效策略与技术手段：
一、限制文件直接访问
通过服务器配置阻止外部用户直接请求PHP文件，尤其是包含数据库连接或核心逻辑的脚本。
1、在Apache环境中，使用.htaccess文件添加访问控制规则：Deny from all，防止目录下的文件被浏览器直接读取。
2、将敏感PHP文件放置在Web根目录之外，确保它们无法通过URL访问，仅能被内部包含调用。
立即学习“PHP免费学习笔记（深入）”；
二、使用URL重写隐藏真实路径
通过Rewrite规则隐藏实际的PHP文件名和参数结构，降低被扫描和攻击的风险。
1、启用Apache的mod_rewrite模块，并在.htaccess中设置伪静态规则。
2、将类似index.php?page=about的URL重写为/about，使真实脚本名称不可见。
3、配置Nginx时，在server块中使用rewrite指令实现相同效果，例如：rewrite ^/user/(\d+)$ /profile.php?id=$1 last;
三、验证请求来源与权限
在每个关键PHP脚本中检查用户身份和请求合法性，防止未授权访问。
1、在脚本开头判断是否已登录或具备相应角色权限，否则终止执行。
2、检查HTTP_REFERER头信息，确认请求来自本站页面（注意：此方法可被绕过，需结合其他措施）。
3、对敏感操作引入一次性令牌（Token），确保请求是由合法会话发起。
四、禁用危险的PHP功能
关闭可能导致路径泄露或远程执行的函数，提升整体安全性。
1、在php.ini中禁用高风险函数，如exec、system、passthru、shell_exec等。
2、设置allow_url_include = Off，防止远程文件包含漏洞。
3、开启display_errors = Off，避免错误信息暴露物理路径。
五、使用防火墙与入侵检测机制
部署Web应用防火墙（WAF）拦截恶意请求，及时发现异常访问行为。
1、配置Cloudflare或ModSecurity等工具，过滤包含PHP探测特征的请求。
2、设定规则阻止频繁请求*.php文件的行为模式。
3、记录所有对PHP脚本的访问日志，定期审查是否存在可疑IP或路径扫描迹象。
