PHP 安全配置詳解：安全模式、隱藏版本、檔案系統與資料庫防護

安全模式

啟用後限制檔案系統存取權限（僅能操作擁有者檔案）、禁止執行系統指令、停用 dl() 動態載入擴展等。

; php.ini
safe_mode = On
safe_mode_gid = Off
safe_mode_include_dir = /usr/local/include/php
safe_mode_exec_dir = /usr/local/php-bin
safe_mode_allowed_env_vars = PHP_,TZ

注意：PHP 5.4+ 已移除安全模式，現代專案請改用 open_basedir、disable_functions 等替代方案。

隱藏 PHP 版本資訊

expose_php = Off
; Apache httpd.conf 修改副檔名
AddType application/x-httpd-php .html .htm .phtml

檔案系統存取控制

open_basedir = /var/www/html:/tmp
disable_functions = exec,shell_exec,passthru,system,popen,dl
disable_classes =

資料庫安全

• 使用 PDO 預處理語句防止 SQL 注入。
• 資料庫帳號最小權限原則（僅授予必要資料表的 SELECT/INSERT/UPDATE）。
• 避免在程式碼中硬編碼密碼，使用環境變數或設定檔（.env）並排除版控。

其他建議

• display_errors = Off（生產環境），改用 log_errors = On。
• session.cookie_httponly = 1、session.cookie_secure = 1（HTTPS 環境）。
• 定期更新 PHP 版本與擴展，關注 CVE 公告。