1、通过服务器配置禁止直接访问PHP文件，Apache使用.htaccess规则，Nginx配置deny all；2、在入口文件检测User-Agent拦截移动设备请求；3、启用OPcache将PHP编译为字节码防止源码暴露；4、使用ionCube等工具加密混淆源码；5、设置文件权限为644或600限制系统层面读取。
如果您的PHP网站在移动端被轻易获取源码，可能是由于服务器配置不当或缺少对移动设备的访问控制。以下是防止手机端非法获取PHP源码的有效措施：
一、禁止直接访问PHP文件
通过服务器配置限制对PHP文件的直接请求，可有效防止用户通过手机浏览器或抓包工具查看源码。
1、在Apache服务器中，编辑.htaccess文件，添加以下规则：
RewriteEngine On
RewriteRule \.php$ - [F,L]
2、在Nginx服务器中，修改站点配置文件，加入：
location ~ \.php$ { deny all; }
二、检测并拦截移动设备请求
通过判断User-Agent识别常见手机浏览器或抓包工具，阻止其访问敏感目录。
1、在入口PHP文件中添加设备检测逻辑：
$userAgent = $_SERVER['HTTP_USER_AGENT'];
if (preg_match('/(Mobile|Android|iPhone|WebView)/i', $userAgent)) {
header('HTTP/1.1 403 Forbidden');
exit();
}
2、将该脚本部署在包含核心逻辑的目录入口，确保非授权移动请求被立即终止。
立即学习“PHP免费学习笔记（深入）”；
三、启用OPcache代码加密
使用PHP内置的OPcache扩展将PHP脚本编译为字节码，避免源码明文暴露。
1、在php.ini中开启OPcache：
opcache.enable=1
opcache.enable_cli=1
opcache.save_comments=0
opcache.load_comments=0
2、重启PHP服务后，所有执行的PHP文件将自动转换为内存中的字节码，无法被外部读取原始代码。
四、部署代码混淆与加密工具
通过第三方工具对PHP源码进行混淆和加密，即使被获取也难以理解。
1、使用工具如Swoole Compiler、PHPShield或ionCube进行源码加密。
例如使用ionCube：安装ionCube Loader后，用Encoder对PHP文件加密输出。
2、上传加密后的文件至服务器，确保运行环境已安装对应解密扩展，原始代码将不可见。
五、设置服务器文件权限保护
通过操作系统层面限制对PHP文件的读取权限，防止通过漏洞下载源码。
1、将PHP文件所属用户设为web服务器运行用户（如www-data），并设置权限为644：
chown www-data:www-data *.php
chmod 644 *.php
2、对于配置文件等敏感文件，设置权限为600，确保仅服务进程可读。
