php无法真正给文件夹设密码，仅能通过脚本实现应用层访问控制；推荐优先使用.htaccess+htpasswd等服务器原生方案，更安全可靠。
PHP 本身不能直接给文件夹“设置密码”，它不是操作系统层的访问控制工具，也没有内置的文件夹加密功能。所谓“PHP 给文件夹加密码”，实际是指：用 PHP 脚本拦截对某个目录下资源的 HTTP 访问，并在用户访问前校验身份（比如登录态或固定口令）。这本质是应用层的访问控制，不改变文件系统权限，也不加密文件内容。
为什么直接用 .htaccess + htpasswd 更可靠
如果你只是想阻止未授权用户通过 URL 访问某文件夹（例如 /private/），Apache/Nginx 原生方案比 PHP 实现更安全、更早生效：
-
.htaccess在请求进入 PHP 之前就拦截，避免 PHP 解析器暴露、错误信息泄露或逻辑绕过 - 不需要写 PHP 逻辑，无 session 管理、CSRF、密码明文存储等常见漏洞风险
- 支持标准 HTTP Basic Auth，浏览器自动弹窗，兼容所有客户端
示例（Apache）：.htaccess 放在目标文件夹内：
AuthType Basic AuthName "Restricted Area" AuthUserFile /var/www/.htpasswd Require valid-user
然后用 htpasswd -c /var/www/.htpasswd admin 生成密码文件。
用 PHP 实现简易口令保护（适合轻量后台或临时分享）
若必须用 PHP（如共享主机不支持 .htaccess，或需自定义登录页），核心是：在该文件夹入口加一个 index.php，并让所有请求都经由它中转或校验。
立即学习“PHP免费学习笔记（深入）”；
- 把原文件夹（如
/secret/）重命名为/secret-data/，禁止 Web 直接访问（可通过服务器配置或.htaccess拒绝*.php外的所有请求） - 新建
/secret/index.php，开头检查$_SESSION['auth']或$_POST['pwd'] - 验证通过后，用
readfile()输出文件（注意 MIME 类型）、或include动态脚本，但绝不直接echo file_get_contents()二进制文件（易乱码/截断） - 务必调用
session_start()前无任何输出，否则报错Cannot modify header information
关键代码片段：
session_start();
if (!isset($_SESSION['auth']) && !isset($_POST['pwd'])) {
die('<form method="post">Password: <input type="password" name="pwd"><button>Enter</button></form>');
}
if (isset($_POST['pwd']) && $_POST['pwd'] === 'my-secret-123') {
$_SESSION['auth'] = true;
}
if (!$_SESSION['auth']) die('Access denied.'); // 后续加载资源
常见踩坑点：你以为的“保护”其实形同虚设
很多 PHP 密码保护方案因疏忽导致完全失效：
- 忘记禁用目标文件夹下的直接文件访问——攻击者可直接请求
/secret-data/report.pdf绕过index.php - 用
md5($_POST['pwd']) === 'xxx'硬编码，但 MD5 已被破解；应至少用password_verify()+password_hash() - 把密码写在 PHP 文件里，却没确认该文件不会被 Web 服务器误当作静态文件返回（如
.php后缀未被 PHP 解析） - 允许 GET 传参校验（如
?pwd=xxx），密码会留在浏览器历史、代理日志、CDN 缓存中 - 未设置
session_set_cookie_params(['httponly' => true, 'secure' => true])，Session Cookie 可被 XSS 窃取
真正的难点不在“怎么写几行 PHP”，而在于确保整个访问链路没有旁路——从 URL 路由、服务器配置、文件权限到浏览器行为，每一步都可能让密码形同虚设。
