当使用 Nginx + PHP-FPM 时，由于 Nginx 不解析 `.htaccess` 文件，必须在其配置文件中完成安全策略的制定。核心思路是利用 `location` 块的匹配优先级与 `deny all` 指令，阻止对敏感文件的访问。

### ⚠️ 理解危险：为什么 .htaccess 不够用？

Apache 在每个目录下查找 `.htaccess` 文件，而 Nginx 只在启动时读取一次配置文件，不会也无法处理 `.htaccess` 指令。

这意味着以往的规则全部失效。例如，即使上传目录下有一个禁止访问的 `.htaccess`，`example.com/uploads/shell.php` 这类 URL 依然可能被 Nginx 直接交给 PHP-FPM 执行，如果该文件是一个恶意上传的 Webshell，后果就是服务器被入侵。

**常规 PHP 处理配置**
首先，回顾一个常规的 Nginx PHP 处理配置，它是所有安全配置的基础。

```nginx
# 常规 PHP 文件处理配置
location ~ \.php$ {
    include fastcgi_params;
    fastcgi_pass unix:/var/run/php/php-fpm.sock; # 或其他 PHP-FPM 后端地址
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}
```
上面的 `location ~ \.php$` 块会将所有以 `.php` 结尾的请求发送给 PHP-FPM 处理。安全配置的核心，就是在这个块之前，添加并拦截对敏感位置的访问。

### 🛡️ Nginx 配置方案

Nginx 的 `location` 匹配有严格的优先级，我们可以利用它，在对敏感目录的访问被 PHP-FPM 处理之前就直接拦截。下面提供了几种常用场景的安全配置。

**重要提示**：所有以下配置示例都应该放置在已有的 `location ~ \.php$` 块 **之前**，确保高优先级的拦截规则先生效。

---

#### 1. 基础安全防护：通用安全配置
这是一套基础的全局安全配置。

*   **功能**：用于阻止访问常见的敏感文件、隐藏文件和备份文件。
*   **配置示例**：
    ```nginx
    # 阻止访问 .htaccess, .user.ini, .git, .svn, .env 等文件或目录
    location ~ /\.(ht|git|svn|env|user\.ini) {
        deny all;
        access_log off;
        log_not_found off;
    }

    # 阻止访问常见的备份文件
    location ~* \.(bak|config|sql|fla|psd|ini|log|sh|inc|swp|dist)$ {
        deny all;
    }
    ```

---

#### 2. 排除特定目录：核心安全策略
这是防御上传漏洞的关键。通过限制用户可写目录（如 `uploads`）内的 PHP 文件执行权限，防止攻击者上传 Webshell。

*   **功能**：禁止 PHP 文件被执行。`location /(uploads|files)/` 指定了目标目录。
*   **配置示例**：
    ```nginx
    location /uploads/ {
        location ~ \.php$ {
            deny all;
            access_log off;
            log_not_found off;
        }
    }
    ```

---

#### 3. 精确访问控制：进阶安全策略
除了通用规则，你还可以精确控制特定文件的访问权限。

*   **功能**：只允许入口文件（如 `index.php`）可访问，其他 PHP 文件直接返回 404。
*   **配置示例**：
    ```nginx
    # 仅允许访问根目录下的 index.php
    location = /index.php {
        # 这里放你的 PHP-FPM 处理配置
        fastcgi_pass unix:/var/run/php/php-fpm.sock;
        # ... 其他 fastcgi 参数
    }

    # 拦截所有其他 PHP 文件
    location ~ \.php$ {
        return 404;
    }
    ```

---

#### 4. 拒绝访问特定文件：精准防护
直接拒绝访问网站的特定敏感文件，如 `xmlrpc.php` 或 `wp-config.php`。

*   **功能**：精准拒绝访问一个或多个特定文件。
*   **配置示例**：
    ```nginx
    # 拒绝访问 xmlrpc.php 和 wp-config.php
    location ~* /(xmlrpc|wp-config)\.php$ {
        deny all;
    }
    ```

### ✨ 注意事项与最佳实践

1.  **配置语法检查**：每次修改配置后，务必进行测试：`sudo nginx -t`。如果输出 `syntax is ok` 和 `test is successful`，再执行 `sudo systemctl reload nginx` 使配置生效。
2.  **理解匹配顺序**：`=` 修饰符 > `^~` 修饰符 > `~` 或 `~*` 修饰符 > 不带任何修饰符。正则匹配 `~` 一旦匹配就立即生效并停止后续匹配。
3.  **使用嵌套 `location`**：推荐使用嵌套 `location` 来增强配置可读性和可维护性，例如：
    ```nginx
    location /uploads/ {
        location ~ \.php$ { deny all; }
    }
    ```
4.  **层层设防**：仅在 Nginx 层禁止执行还不够。
    *   在 `php.ini` 中设置 `open_basedir`，限制 PHP 脚本访问文件系统的范围。
    *   使用 **PHP-FPM 独立进程池**，一个站点一个池，并配合 `open_basedir` 进行隔离。
    *   通过 `disable_functions` 禁用 `eval`、`assert`、`system` 等危险函数。

当使用 Nginx + PHP-FPM 时，由于 Nginx 不解析 .htaccess 文件，必须在其配置文件中完成安全策略的制定。核心思路是利用 location 块的匹配优先级与 deny all 指令，阻止对敏感文件的访问。

理解危险：为什么 .htaccess 不够用？

网络与通信

安全

后端

Nginx+PHP-FPM安全配置指南：详解如何通过location块拦截敏感文件访问，阻止上传目录执行PHP文件，防范Webshell攻击。提供基础防护、目录排除、精确控制等配置方案，强调Nginx与.htaccess的区别及配置优先级规则。

文件系统

服务器

2026采购季 | AI焕新·智启新局

libradb

4核4G3M云服务器 新用户低至38元/年！

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

理解危险：为什么 .htaccess 不够用？-腾讯云开发者社区-腾讯云

理解危险：为什么 .htaccess 不够用？

理解危险：为什么 .htaccess 不够用？

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐