防止php源码泄露需采取多层防护：一、将敏感php文件移出web可访问目录，仅保留入口文件如index.php在public目录，并配置服务器根路径指向public；二、确保web服务器正确解析php，检查apache的mod_php或nginx与php-fpm的集成，避免因配置错误导致源码以文本形式暴露；三、禁止访问备份及敏感文件类型，通过filesmatch或location块限制对.bak、.inc、.conf等扩展名的访问；四、启用opcache或使用ioncube等加密工具对代码进行加密，增加逆向难度；五、加强版本控制管理，部署时清除.git、.svn等隐藏目录，并禁止web访问以“.”开头的路径。这些措施层层设防，能有效阻止源码泄露风险。
如果PHP源码在服务器配置不当或开发流程不规范的情况下被直接访问，可能导致敏感信息暴露，攻击者可利用这些信息发起进一步攻击。以下是防止PHP源码泄露的有效措施：
一、确保PHP文件不在Web根目录之外可访问
将所有包含业务逻辑的PHP文件放置在Web服务器无法直接访问的目录中，仅允许入口文件（如index.php）位于Web根目录。这样可以避免用户通过URL直接请求核心源码文件。
1、创建项目结构时，设立public目录作为唯一的Web可访问路径。
2、将所有敏感PHP文件移至上级目录或其他非公开目录。
立即学习“PHP免费学习笔记（深入）”；
3、配置Web服务器（如Nginx或Apache）指向public目录为根路径。
重要提示：绝不要将config.php、database.php等敏感文件放在可公开访问的目录下。
二、正确配置Web服务器解析PHP
确保Web服务器能够正确识别并解析PHP文件，而不是将其作为纯文本返回给客户端。当服务器未启用PHP模块或MIME类型配置错误时，源码可能被直接显示。
1、检查Apache是否加载了mod_php模块或PHP-FPM服务是否正常运行。
2、在Nginx中确认location块正确转发.php文件到FastCGI处理器。
3、测试访问一个PHP文件，确认其执行结果而非源代码输出。
关键点：定期检查服务器配置更新后PHP是否仍能正常解析。
三、禁用不必要的文件类型显示
防止因文件扩展名未被正确处理而导致源码暴露。例如，.php.bak或.php~这类备份文件若被访问，会直接显示源码内容。
1、在Apache中使用FilesMatch指令禁止访问常见备份扩展名。
2、在Nginx中添加location块阻止对*.bak、*.swp、*.orig等文件的访问。
3、设置默认拒绝策略，只允许明确规定的文件类型被访问。
必须阻止访问包括但不限于.inc、.conf、.sql、.log等非公开文件。
四、使用OPcache或代码加密工具
通过预编译或加密机制保护源码，即使文件被非法获取也难以阅读原始代码。OPcache将PHP脚本编译为opcode并缓存，而加密工具则提供更强的保护。
1、启用PHP内置的OPcache扩展以提升性能并隐藏源码。
2、使用商业加密方案如Swoole Compiler、ionCube或SourceGuardian对代码进行加密打包。
3、部署加密后的文件，并在目标服务器安装对应解密运行环境。
注意：加密不能替代安全配置，仅作为额外防护层。
五、加强版本控制系统管理
避免因.git或.svn目录暴露导致整个源码库被下载。开发者若在生产环境中保留版本控制元数据，会造成严重泄露风险。
1、部署到生产环境前，删除项目中的.git、.svn、.hg等隐藏版本目录。
2、使用自动化部署脚本确保排除敏感目录和文件。
3、在Web服务器上禁止访问任何以“.”开头的隐藏目录。
务必确保线上环境不包含任何版本控制相关文件。
