PHP配置文件放Web根目录下易被直接访问泄露敏感信息，根本原因是Web服务器未解析而当静态资源返回；chmod权限无法解决该问题，应移出Web根目录并配合Nginx/Apache禁止访问规则。
PHP配置文件被Web服务器直接读取的风险
PHP配置文件（如 config.php、.env）一旦放在Web根目录下且权限过宽，就可能被外部通过URL直接访问。比如访问 https://example.com/config.php，如果文件未做执行拦截或返回源码，数据库密码、API密钥等敏感信息会直接暴露——这不是理论风险，而是真实发生过的高频漏洞。
根本原因不是PHP本身，而是Web服务器（如Nginx/Apache）对非PHP后缀或错误配置的文件默认当作静态资源返回，而非交给PHP解析。即使文件里写了 ，只要没被执行，照样白给。
chmod 644 或 600 不是万能解药
单纯用 chmod 644（所有者读写、组和其他人只读）看似合理，但问题在于：Web服务器进程（如www-data、nginx用户）通常属于“其他用户”组，它仍能读取该文件；而 chmod 600（仅所有者可读写）在共享主机或容器环境里常导致PHP脚本因无读取权限而报错 failed to open stream: Permission denied。
- Web服务用户 ≠ 文件所有者，硬设600大概率让应用崩掉
- 644在多数Linux发行版中仍是默认值，不解决“被直接下载”的核心问题
- 权限只是辅助手段，不能替代路径隔离和Web层防护
把config文件移出Web根目录是最有效做法
真正的安全边界是让文件根本不在HTTP可访问路径内。例如将 config.php 放到 /var/www/app/config/，而Web根目录是 /var/www/app/public/，那么即使配置有误，也无法通过URL命中该文件。
立即学习“PHP免费学习笔记（深入）”；
在代码中加载时只需用绝对路径或相对上层路径：
// 在 public/index.php 中 require dirname(__DIR__) . '/config/database.php';
注意：dirname(__DIR__) 比 ../ 更可靠，避免因当前工作目录变化导致路径错误。
Nginx/Apache必须禁止对config文件的直接访问
即使文件放对了位置，也要防配置回滚或开发误操作。Nginx需显式拒绝匹配模式：
location ~* \.(env|config|ini|log|txt)$ {
deny all;
}Apache则在 .htaccess 或虚拟主机配置中加：
Require all denied
特别注意：.env 文件常被Laravel、Symfony等框架使用，但它默认无PHP标签，极易被当成纯文本下载；config.ini 同理。这类扩展名必须进黑名单，不能靠“没人知道路径”来赌安全。
改完记得 reload 服务：sudo nginx -s reload 或 sudo systemctl reload apache2，否则规则不生效。
最易被忽略的一点：Docker环境中，若用 volume 挂载了整个项目目录，且 Web 容器用户权限配置宽松，仍可能绕过路径隔离——这时得配合 user: "33:33" 等限制容器内运行身份。
