php open_basedir怎么设置才对？新手看这篇配置教程就懂了！

发布日期： 2025-09-28 阅读量： 作者： admin

哥们儿，今天得空，正好跟大家唠唠我前段时间折腾 `php open_basedir` 的那点事儿。这玩意儿，说复杂也不复杂，但真搞起来，有时候也挺让人头疼的，记录一下过程，省得以后忘了。

起因是啥？就是服务器上跑着好几个网站，都是PHP的。然后就寻思着，得给它们各自画个圈圈，别让某个站点的脚本瞎跑，跑到别的站点目录里去捣乱，或者更糟，去翻系统文件。安全第一嘛对？这时候就想起了 `open_basedir` 这个东西。

摸索阶段：先找找在哪儿设置

我第一反应就是去翻 `*` 这个主配置文件。用 `vim` 打开，搜了一下 `open_basedir`。果然有这行，不过前面有个分号 `;` 给注释掉了。那好办，先把分号去了，然后琢磨着该填啥路径。

一开始想着，干脆就限制在网站根目录。比如我有个站放在 `/var/www/site1`，我就写：

open_basedir = /var/www/site1

然后，关键一步，重启 php-fpm（我用的是 Nginx + PHP-FPM 环境，如果你是 Apache，可能就得重启 Apache）。重启完，访问网站试试，好像没啥问题。

但是，问题来了。我服务器上不止 `site1` ，还有 `site2`、`site3` 。这 `*` 是全局的，我这么一设，`site2` 和 `site3` 的脚本也只能访问 `/var/www/site1` 了，那它们自己的文件咋办？直接就报错了，说文件找不到或者无权访问。

得，这方法太“一刀切”了，不适合我这多站点的情况。看来得找个能针对单个站点配置的方法。

我就去查资料，网上七嘴八舌的，有说在 Apache 的 `*` 或虚拟主机配置里加 `php_admin_value` 的，也有说 Nginx + PHP-FPM 可以在 Nginx 的站点配置或者 FPM 的 `pool` 配置文件里搞。

我用的是 Nginx + PHP-FPM，所以就先看 FPM 的配置。找到了对应站点的那个 `pool` 配置文件（通常在 `php-fpm.d` 目录下，比如 `*` 或者你为每个站点单独建的 `*` 之类的）。

在那个配置文件里，我找到了可以添加 PHP 设置的地方，加上了类似下面这行：

php_admin_value[open_basedir] = /var/www/site1/:/tmp/

这里有个坑，也是个重点！ 为啥后面要加个 `:/tmp/` ？因为很多 PHP 程序，比如处理上传文件、session 什么的，默认会用到系统的 `/tmp` 临时目录。要是不给它这个权限，这些功能就废了。路径之间用冒号 `:` (Windows 下是分号 `;`) 隔开就行。

同样的道理，给 `site2` 的 FPM 配置文件加上：

php_admin_value[open_basedir] = /var/www/site2/:/tmp/

这样，每个站点的 PHP 进程就被限制在自己的目录和 `/tmp` 目录里了。

改完 FPM 的 pool 配置，还是要记得重启 php-fpm 服务，让配置生效。

如果你用的是 Apache，那方法也类似，就是在你的虚拟主机配置 `` 块里面加上：

php_admin_value open_basedir "/var/www/site1/:/tmp/"

据说这种在 Web 服务器层面（Apache 或 FPM Pool）的设置，优先级比 `*` 里的要高，会覆盖掉 `*` 的全局设置。这点挺重要的，省得你改了半天 `*` 发现没用，原来是被虚拟主机的配置给覆盖了。

这么一通折腾下来，总算是给每个站点都上了个“紧箍咒”。访问测试了一下，各自安`site1` 的脚本没法去读 `site2` 的文件了，安全感提升了不少。

`open_basedir` 是个好东西，能有效防止跨站脚本攻击或者信息泄露。配置的时候要注意几点：

有时候，为了临时调试或者特殊情况，可能需要完全禁用 `open_basedir`。可以在配置里把值设为 `none` 就行了。不过一般不推荐这么干，毕竟安全第一。

行了，这回的实践记录就到这儿。希望能帮到同样在琢磨 `open_basedir` 的朋友们。这玩意儿不难，就是得搞清楚在哪儿配、怎么配才最合适你自己的环境。多试试，就明白了。