apache中用options -indexes可禁止目录列表，但需确保mod_rewrite启用且allowoverride all；nginx需用location ^~ /path/ { deny all; }；php层须校验路径、过滤输入并结合linux权限控制。
Apache环境下用.htaccess禁止直接访问文件夹
PHP本身不控制文件夹访问权限，实际起作用的是Web服务器。在Apache中，最常用的方法是利用.htaccess文件阻止用户通过URL直接浏览目录内容。
在需要保护的文件夹（比如/uploads/或/config/）根目录下新建.htaccess，写入：
Options -Indexes
这行配置会关闭目录索引功能，用户访问https://yoursite.com/uploads/时将返回403 Forbidden，而不是列出所有文件。
- 如果该文件夹已存在
index.php等默认首页，Apache仍可能显示它——-Indexes只禁目录列表，不拦文件执行 - 确保Apache已启用
mod_rewrite且AllowOverride All在虚拟主机配置中生效，否则.htaccess会被忽略 - 不要把
.htaccess放在Web根目录下全局启用，应按需部署到具体敏感子目录
Nginx中用location规则屏蔽文件夹访问
Nginx没有.htaccess机制，必须在server块中显式配置。若想禁止访问/private/下的所有资源（包括PHP文件），需加一段location规则：
立即学习“PHP免费学习笔记（深入）”；
location ^~ /private/ {
deny all;
}^~表示前缀匹配且优先级高于正则，比location /private/更可靠；deny all会直接拒绝所有请求，返回403。
- 避免写成
location ~ \.php$这类正则去单独拦截PHP——它无法阻止用户下载.txt或.log等非脚本文件 - 如果只是想禁止执行PHP但允许下载静态文件，应改用
fastcgi_intercept_errors on配合location ~ \.php$ { deny all; } - 修改Nginx配置后必须运行
nginx -t验证语法，并systemctl reload nginx生效
PHP代码层防止意外包含敏感目录文件
即使Web服务器做了限制，PHP脚本仍可能因路径拼接错误或用户输入导致include/require读取不该读的文件（如../config/database.php）。这不是权限问题，而是代码安全漏洞。
关键做法是：不直接使用用户传入的路径参数做文件操作。
- 用
basename()过滤文件名，例如include 'templates/' . basename($_GET['tpl']) . '.php'; - 白名单校验：只允许预设的几个模板名，如
in_array($tpl, ['home', 'about'], true) - 绝对路径+
realpath()检查是否落在预期目录内：$file = realpath($user_path); if (strpos($file, '/var/www/app/templates/') !== 0) die('Access denied'); - 永远不要用
$_GET、$_POST或$_SERVER['PATH_INFO']拼接进include、file_get_contents或scandir
Linux系统权限与PHP运行用户的关系
Web服务器（如Apache的www-data或Nginx的nginx用户）以特定系统用户身份运行PHP进程。这意味着：即使HTTP能访问某个文件夹，PHP脚本能否读写它，还取决于该用户对该路径的Linux文件权限。
典型错误是把文件夹设为755但属主不是Web用户，结果PHP报Permission denied；或者误设777导致任意用户可写入恶意脚本。
- 推荐方案：
chown -R www-data:www-data /var/www/app/storage+chmod 750 /var/www/app/storage - 上传目录如
/uploads/需可写，但应禁用PHP执行：location ~* /uploads/.*\.php$ { return 403; }（Nginx）或<files> Deny from all</files>（Apache） - 敏感配置目录如
/config/建议设为750且不在Web根下，例如放在/var/www/app/config/而非/var/www/html/config/
真正有效的文件夹访问控制从来不是单点设置，而是Web服务器规则、PHP逻辑校验、Linux权限三者叠加。最容易被忽略的是：开发者常以为加了.htaccess就万事大吉，却没意识到PHP脚本自身仍可能绕过这些限制去读取系统任意路径。
