为防止PHP源码泄露，应正确配置Web服务器以执行而非返回PHP文件，1、Apache需启用PHP处理器并禁用Indexes选项；2、Nginx需正确配置FastCGI且关闭autoindex；3、禁止将PHP文件置于可访问目录；4、使用Zend Guard等工具加密代码；5、设置文件权限为644或600，限制关键目录访问；6、通过日志监控发现异常请求并封禁可疑IP。
如果您尝试访问某个网站的PHP源码，但发现无法直接查看服务器端代码，则可能是由于服务器配置了正确的安全策略。以下是防止PHP源码被非法获取的有效措施：
一、正确配置Web服务器
Web服务器如Apache或Nginx必须设置合理的规则来阻止用户直接访问PHP文件内容。默认情况下，服务器应将PHP文件交给PHP解析器执行，而非作为文本返回给客户端。
1、在Apache中，确保httpd.conf或虚拟主机配置中未禁用PHP处理器。
2、在Nginx中，检查location ~ \.php$块是否正确指向FastCGI处理进程。
立即学习“PHP免费学习笔记（深入）”；
3、严禁将PHP文件放置在可被直接访问的目录下，例如通过URL拼接尝试读取源码。
二、禁止目录浏览功能
开启目录浏览可能导致攻击者列出服务器上的所有文件，进而寻找可利用的源码文件。关闭此功能可有效降低信息泄露风险。
1、在Apache中，修改配置文件并移除Indexes选项，确保包含Options -Indexes。
2、在Nginx中，默认不支持目录浏览，若启用则需删除autoindex on;指令。
3、部署后应通过浏览器访问目录路径验证是否返回403或404错误。
三、使用代码加密与混淆工具
对敏感PHP代码进行加密可以防止即使文件被下载也无法轻易阅读原始逻辑。此类工具通过编码或封装方式保护源码。
1、使用Zend Guard、ionCube等主流PHP加密工具对代码进行编译打包。
2、部署时仅上传加密后的文件，并在服务器安装对应解密扩展。
3、加密后的代码无法反向还原为原始可读形式，极大提升安全性。
四、设置文件权限与访问控制
操作系统层面的权限管理能够限制非授权用户读取PHP文件内容，尤其是在共享主机环境中尤为重要。
1、将PHP源码文件设为644权限，配置文件设为600以限制写入和读取。
2、Web服务器运行用户（如www-data）不应具备SSH或shell访问权限。
3、关键目录如/config、/includes应通过.htaccess或IP白名单限制访问。
五、启用日志监控与异常检测
实时监控Web访问日志有助于及时发现可疑行为，例如频繁请求PHP文件或尝试路径遍历攻击。
1、定期检查access.log和error.log中是否存在.php?view=source类请求。
2、配置Fail2ban等工具自动封禁多次尝试非法路径的IP地址。
3、对包含../、.inc、.bak的请求进行重点标记和告警。
