open_basedir 的作用与配置方式

open_basedir 是 PHP 的文件访问限制开关，设置之后 PHP 脚本只能打开指定目录树内的文件，越界一律报错。多站点同机部署时，它是限制单个站点活动范围最直接的手段，常和 disable_functions 搭配组成最小权限组合，前者管文件访问范围，后者管可调用的函数，两道一起上才完整。 在池配置里逐站设置 推荐配在 php-fpm 池配置里（如 /etc/php-fpm.d/site-a.conf），一个站点一份： php_admin_value[open_basedir] = /var/www/sitea:/tmp:/var/lib/php/session 多个路径用冒号分隔。/tmp 和 session 目录通常要带上，否则登录功能第一个出问题。改完 systemctl reload php-fpm。等价写法也可以放在 Nginx 站点配置里： fastcgi_param PHP_ADMIN_VALUE "open_basedir=/var/www/sitea:/tmp"; pool 配置的优先级更高，两处都写时留意别配出互相矛盾的值。全局 php.ini 里也能设一个兜底值，池级配置会覆盖它；方向只有收紧没有放宽，子进程改不回更大的范围，这是它可靠的地方。清单原则是少而准：每多写一个路径，就多放开一块攻击面，framework 的 storage、bootstrap/cache 这类目录按实际需要逐个补，别一口气全加上。 典型报错排查 开启后最常见的两类报错：failed to open stream: not within the allowed path(s)，是业务代码访问了清单外的路径——composer 的 vendor 目录、程序自带的日志目录都可能中招，把实际路径追加进 open_basedir 即可；session_start(): open(...) failed，是 session 存储路径不在清单里。排查顺序固定：先看 PHP 错误日志里的完整被拒路径，再对照清单补哪一条，不要凭猜乱加，加错一条白折腾，多加一条又白白扩大面。 性能影响与验证 这个限制只是路径前缀比对，性能开销可以忽略，放心全站开。验证是否生效，在站点放探测文件输出 phpinfo()，找 open_basedir 一行：Master Value 是全局兜底值，Local Value 是本池实际生效值，看 Local 才算数，路径清单正确即配置成功，再试一次访问清单外的文件确认被拒，双重验证更稳。测完删掉探测文件。最后一条经验：清单按实际需要给，别图省事把 / 整个加进去，那等于没配，宁可先窄一点，报错了再逐步补全。