```html

PHP防篡改保护机制

在Web应用安全中，防止核心文件、配置或关键数据被恶意篡改是基础防线。PHP虽无内置“防篡改”模块，但可通过哈希校验、文件锁定与运行时验证构建多层防护体系。

1. 配置文件完整性校验

将敏感配置（如数据库凭证）的SHA-256哈希值预存于只读位置，启动时校验：

<?php
// config/integrity.php —— 只读校验文件（部署后 chmod 444）
return [
    'config.php' => 'a1b2c3...f8e9', // config.php 的 SHA-256 哈希
    'database.php' => 'd4e5f6...1234'
];

// 在入口文件中校验（如 index.php）
$configIntegrity = require __DIR__ . '/config/integrity.php';
foreach ($configIntegrity as $file => $expectedHash) {
    $path = __DIR__ . '/config/' . $file;
    if (file_exists($path)) {
        $actualHash = hash_file('sha256', $path);
        if ($actualHash !== $expectedHash) {
            error_log("ALERT: Config file tampered! {$file}");
            http_response_code(500);
            die("系统异常：配置文件完整性校验失败");
        }
    }
}
?>

2. 关键代码文件运行时锁

利用opcache_get_status()与文件修改时间双重判断，阻止动态加载被篡改的类：

<?php
function loadSecureClass($className, $filePath) {
    if (!file_exists($filePath)) {
        throw new RuntimeException("Class file not found: {$filePath}");
    }
    
    // 检查最后修改时间是否早于部署时间（示例：部署于 2024-01-01）
    $deployTimestamp = strtotime('2024-01-01');
    if (filemtime($filePath) > $deployTimestamp) {
        error_log("Suspicious file modification: {$filePath}");
        throw new RuntimeException("Security violation: Unauthorized file modification");
    }
    
    // 同时校验OPcache编译状态（防缓存污染）
    $status = opcache_get_status();
    if ($status && !empty($status['scripts'][$filePath])) {
        $cachedMtime = $status['scripts'][$filePath]['timestamp'];
        if ($cachedMtime > $deployTimestamp) {
            opcache_invalidate($filePath, true);
        }
    }
    
    require_once $filePath;
}

// 使用示例
loadSecureClass('Database', __DIR__ . '/lib/Database.php');
?>

3. 环境变量与密钥硬编码防护

避免密钥明文写入PHP文件。推荐使用.env + hash_hmac签名验证：

生成签名：
echo hash_hmac('sha256', file_get_contents('.env'), 'DEPLOY_SECRET_KEY');

结语

PHP防篡改非一劳永逸，而是“检测+响应+审计”的闭环过程。建议结合以下实践：

• 部署后立即设置关键目录为 chmod 555（仅读+执行）
• 定期扫描 *.php 文件的哈希变更（可集成CI/CD）
• 记录所有校验失败事件至独立日志，并触发告警

安全始于敬畏——每一次require，都应是一次信任验证。

```