ini_set(“safe_mode”,true);
safe_mode_gidboolean默认情况下，安全模式在打开文件时会做 UID 比较检查。如果想将其放宽到 GID 比较，则打开 safe_mode_gid。是否在文件访问时使用UID（FALSE）或者GID（TRUE）来做检查。
safe_mode_include_dirstring当从此目录及其子目录（目录必须在 include_path 中或者用完整路径来包含）包含文件时越过UID/GID 检查。
从 PHP 4.2.0 开始，本指令可以接受和 include_path 指令类似的风格用冒号（Windows 中是分号）隔开的路径，而不只是一个目录。
指定的限制实际上是一个前缀，而非一个目录名。这也就是说“safe_mode_include_dir = /dir/incl”将允许访问“/dir/include”和“/dir/incls”，如果它们存在的话。如果希望将访问控制在一个指定的目录，那么请在结尾加上一个斜线，例如：“safe_mode_include_dir = /dir/incl/”。
如果本指令的值为空，在 PHP 4.2.3 中以及 PHP 4.3.3 起具有不同 UID/GID 的文件将不能被包含。在较早版本中，所有文件都能被包含。
safe_mode_exec_dirstring如果 PHP 使用了安全模式，system() 和其它程序执行函数将拒绝启动不在此目录中的程序。必须使用/ 作为目录分隔符，包括 Windows 中。
safe_mode_allowed_env_varsstring设置某些环境变量可能是潜在的安全缺口。本指令包含有一个逗号分隔的前缀列表。在安全模式下，用户只能改变那些名字具有在这里提供的前缀的环境变量。默认情况下，用户只能设置以 PHP_ 开头的环境变量（例如 PHP_FOO = BAR）。
注: 如果本指令为空，PHP 将使用户可以修改任何环境变量！
safe_mode_protected_env_varsstring本指令包含有一个逗号分隔的环境变量的列表，最终用户不能用 putenv() 来改变这些环境变量。甚至在 safe_mode_allowed_env_vars 中设置了允许修改时也不能改变这些变量。
open_basedirstring将 PHP 所能打开的文件限制在指定的目录树，包括文件本身。本指令不受安全模式打开或者关闭的影响。
当一个脚本试图用例如 fopen() 或者gzopen() 打开一个文件时，该文件的位置将被检查。当文件在指定的目录树之外时 PHP 将拒绝打开它。所有的符号连接都会被解析，所以不可能通过符号连接来避开此限制。
特殊值 . 指明脚本的工作目录将被作为基准目录。但这有些危险，因为脚本的工作目录可以轻易被chdir() 而改变。
在 httpd.conf 文件中中，open_basedir 可以像其它任何配置选项一样用“php_admin_value open_basedir none”的方法关闭，例如某些虚拟主机中：
<Directory /serverroot/test> php_admin_value open_basedir /docroot</Directory>
在 Windows 中，用分号分隔目录。在任何其它系统中用冒号分隔目录。作为 Apache 模块时，父目录中的 open_basedir 路径自动被继承。
用 open_basedir 指定的限制实际上是前缀，不是目录名。也就是说“open_basedir = /dir/incl”也会允许访问“/dir/include”和“/dir/incls”，如果它们存在的话。如果要将访问限制在仅为指定的目录，用斜线结束路径名。例如：“open_basedir = /dir/incl/”。
注: 支持多个目录是 3.0.7 加入的。
默认是允许打开所有文件。
disable_functionsstring本指令允许你基于安全原因禁止某些函数。接受逗号分隔的函数名列表作为参数。 disable_functions 不受安全模式的影响。
本指令只能设置在 php.ini 中。例如不能将其设置在httpd.conf。
disable_classesstring本指令可以使你出于安全的理由禁用某些类。用逗号分隔类名。disable_classes 不受安全模式的影响。
本指令只能设置在php.ini 中。例如不能将其设置在httpd.conf。
本指令只能设置在 php.ini 中。例如不能将其设置在 httpd.conf。
expose_php = On/Offstring
利用整个设置，你能够阻碍一些来自自动脚本针对web服务器的攻击。通常情况下，http的响应头信息里面包含了如下信 息：
Server Apache/2.2.19 (Win32) PHP/5.3.8fiebug查看：
3. 实战演示
当 safe_mode 设置为 on，PHP 将通过文件函数或其目录检查当前脚本的拥有者是否和将被操作的文件的拥有者相匹配。例如：
4 -rw-r–r– 1 httpd root 72 2012-04-16 00:51 test.php4 -rw-r–r– 1 root root 1853 2012-03-28 16:20 /etc/passwd运行 test.php
<?phpfopen(‘/etc/passwd’,'r’);readfile(‘/etc/passwd’);mkdir(‘test’);如果安全模式被激活，则将会导致以下错误：
Warning: fopen() [function.fopen]: SAFE MODE Restriction in effect. The script whose uid is 1003 is not allowed to access /etc/passwd owned by uid 0 in /usr/local/httpd/htdocs/test.php on line 2 Warning: fopen(/etc/passwd) [function.fopen]: failed to open stream: Inappropriate ioctl for device in /usr/local/httpd/htdocs/test.php on line 2 Warning: readfile() [function.readfile]: SAFE MODE Restriction in effect. The script whose uid is 1003 is not allowed to access /etc/passwd owned by uid 0 in /usr/local/httpd/htdocs/test.php on line 3 Warning: readfile(/etc/passwd) [function.readfile]: failed to open stream: Inappropriate ioctl for device in /usr/local/httpd/htdocs/test.php on line 3
也可以单独地屏蔽某些函数。请注意disable_functions 选项不能在php.ini 文件外部使用，也就是说无法在httpd.conf 文件的按不同虚拟主机或不同目录的方式来屏蔽函数。如果将如下内容加入到php.ini 文件：
disable_functions readfile,system
则会得到如下的输出：
Warning: readfile() has been disabled for security reasons in /usr/local/httpd/htdocs/test.php on line 3
4. 安全模式限制函数
函数名限制dbmopen()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。dbase_open()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。filepro()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。filepro_rowcount()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。filepro_retrieve()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。ifx_*sql_safe_mode 限制, (!= safe mode)ingres_*sql_safe_mode 限制, (!= safe mode)mysql_*sql_safe_mode 限制, (!= safe mode)pg_loimport()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。posix_mkfifo()检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。putenv()遵循 ini 设置的 safe_mode_protected_env_vars 和 safe_mode_allowed_env_vars 选项。请参考 putenv() 函数的有关文档。move_uploaded_file()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。chdir()检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。dl()本函数在安全模式下被禁用。backtick operator本函数在安全模式下被禁用。shell_exec()（在功能上和 backticks 函数相同）本函数在安全模式下被禁用。exec()只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。system()只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。passthru()只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。popen()只能在 safe_mode_exec_dir 设置的目录下进行执行操作。基于某些原因，目前不能在可执行对象的路径中使用 ..。escapeshellcmd() 将被作用于此函数的参数上。fopen()检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。mkdir()检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。rmdir()检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。rename()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。unlink()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。copy()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 (on source and target)chgrp()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。chown()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。chmod()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 另外，不能设置 SUID、SGID 和 sticky bitstouch()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。symlink()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意：仅测试 target）link()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意：仅测试 target）apache_request_headers()在安全模式下，以“authorization”（区分大小写）开头的标头将不会被返回。header()在安全模式下，如果设置了 WWW-Authenticate，当前脚本的 uid 将被添加到该标头的 realm 部分。PHP_AUTH 变量在安全模式下，变量 PHP_AUTH_USER、PHP_AUTH_PW 和 PHP_AUTH_TYPE 在 $_SERVER 中不可用。但无论如何，您仍然可以使用 REMOTE_USER 来获取用户名称（USER）。（注意：仅 PHP 4.3.0 以后有效）highlight_file(), show_source()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意，仅在 4.2.1 版本后有效）parse_ini_file()检查被操作的文件或目录是否与正在执行的脚本有相同的 UID（所有者）。 检查被操作的目录是否与正在执行的脚本有相同的 UID（所有者）。 （注意，仅在 4.2.1 版本后有效）set_time_limit()在安全模式下不起作用。max_execution_time在安全模式下不起作用。mail()在安全模式下，第五个参数被屏蔽。（注意，仅自 PHP 4.2.3 起受影响）
转载于:https://www.cnblogs.com/wangyueren/archive/2012/11/08/2760040.html
相关资源：数据结构—成绩单生成器