配合Web进程以低权限专用用户运行、设置open_basedir限制文件访问范围、将上传目录与可执行目录分离并设为不可执行，可以形成多层阻断。