phpinfo() 是 PHP 内置只读函数，无法修改；真正目标是控制访问权限而非加密输出，应通过 Web 服务器访问控制或 HTTP Basic Auth 限制未授权访问，并确保 expose_php = Off。
为什么不能直接修改 phpinfo() 函数本身
phpinfo() 是 PHP 内置的只读函数，无法重写、拦截或打补丁。任何“加密 phpinfo”的需求，本质都是 ** 控制谁能看到它 **，而不是对输出内容做 AES/DES 加密——那既无意义（页面源码仍可被查看），又破坏可读性。真正的目标是：防止未授权访问，尤其在生产环境暴露 phpinfo() 会导致敏感信息泄露（如路径、扩展、环境变量、PHP 版本等）。
最简有效：用 Web 服务器做基础访问控制
不依赖 PHP 逻辑，直接在 Nginx 或 Apache 层拦截对 phpinfo.php 的请求，响应最快、最可靠，且绕过 PHP 执行阶段。
- Nginx 配置示例（放在 server 块内）：
location = /phpinfo.php {satisfy all; allow 192.168.1.100; # 替换为你的运维 IP allow 2001:db8::1; # 支持 IPv6 deny all;} - Apache（.htaccess 或虚拟主机配置）：
Require ip 192.168.1.100 Require ip 2001:db8::1 - ⚠️ 注意：
phpinfo.php文件名必须与实际文件一致；若使用别名或重写，需匹配最终解析路径；deny all必须显式写出，否则默认放行。
如果必须用 PHP 做校验：用 HTTP Basic Auth 最轻量
比 session 登录简单，不依赖数据库或 Cookie，适合临时调试页。关键是把认证逻辑放在 phpinfo() 调用之前，且确保无输出（避免 header 已发送错误）。
- 检查
$_SERVER['PHP_AUTH_USER']和$_SERVER['PHP_AUTH_PW']，硬 编码 凭据即可（勿用于长期生产）：if (!isset($_SERVER['PHP_AUTH_USER']) || $_SERVER['PHP_AUTH_USER'] !== $valid_user || $_SERVER['PHP_AUTH_PW'] !== $valid_pass) {header('WWW-Authenticate: Basic realm="PHP Info Access"'); header('HTTP/1.0 401 Unauthorized'); exit('Access denied.'); } phpinfo(); ?> - ⚠️ 常见坑：
header()前不能有任何输出（包括空格、BOM、echo）；PHP-FPM 下某些配置会缓冲输出，建议加ob_end_clean()开头；HTTPS 环境下 Basic Auth 才相对安全。
绝对禁止的操作和容易忽略的细节
很多人试图用 md5() 或 password_hash() 对访问参数加密，但这是典型混淆——认证环节加密的是密码存储，不是传输过程；而 phpinfo() 页面本身没有任何需要“解密”的内容。
立即学习“PHP 免费学习笔记（深入）”；
- ❌ 不要尝试用 JavaScript 隐藏 DOM 或混淆 HTML：右键“查看源码”或禁用 JS 即失效；
- ❌ 不要依赖
$_SERVER['HTTP_REFERER']做判断：极易伪造，且现代浏览器常不发送； - ❌ 不要在生产环境保留
phpinfo.php文件：即使加了密码，也属于“带锁的窗户”，应彻底删除或仅保留在开发分支； - ✅ 真正关键的一点：确认你的
php.ini中expose_php = Off已启用——这能隐藏 HTTP 响应头里的 PHP 版本，是比加密页面更底层的安全动作。
