PHP日志别放网站根目录，被人扫到直接下载，网站路径、接口信息全泄露

新手配置PHP，把日志文件的权限设成777，结果爬虫扫到日志地址，直接下载整个日志文件，里面有你的网站路径、接口地址、用户IP信息，全泄露，其实日志文件的权限设对了，不会出这种问题。第一，日志文件目录别放在网站根目录里，存到系统的/var/log目录，就算黑客知道路径，也没法通过URL访问下载；第二，日志文件权限设640，只有服务器用户和web组能读写，其他用户不能读，就算被扫到路径，也下载不了；第三，别把带敏感信息的错误日志，比如数据库连接密码、用户手机号，直接输出到web目录的日志文件里，错误日志存在系统日志目录，和网站文件分开；第四，定期自动清理旧日志，别让日志攒几个G，把磁盘占满，之前就见过新手日志攒了80G，系统盘直接写满，网站打不开。

我之前把PHP错误日志放在网站根目录，被人扫到，下载了日志文件，看到了我的数据库路径，后来把日志全移到系统目录，权限设成640，再也没被下载过。很多新手觉得日志文件就是自己看的，根本不管权限，放在web目录里，别人直接通过URL就能下载，敏感信息全漏。把日志挪到系统目录，权限设对，五分钟就搞定，安全多了。