为什么说在生产中使用phpinfo这个函数十分危险

在生产环境中使用 phpinfo() 函数被觉得是一件相当危险的事情。这是因为 phpinfo() 会揭示大量关于服务器配置的信息，这些信息一旦落入违法乱纪的人手中，可能会对网站的安全构成严重威胁。

首先phpinfo() 函数显示的信息包括但不限于 PHP 版本、服务器操作系统、已加载的扩展、服务器配置文件的位置、环境变量、数据库连接信息等。这些信息对于攻击者来说，是极具价值的。他们可以利用这些信息来针对已知漏洞发起攻击，或者通过配置错误来获取敏感数据。

例如如果攻击者发现服务器运行的 PHP 版本低于最新版本，并且已知该版本存在安全漏洞，他们可能会尝试利用这些漏洞来执行恶意代码或获取未授权的数据访问。同样，了解服务器上启用的特定扩展和它们的版本，可以帮助攻击者找到可以利用的弱点。

除此之外phpinfo() 还有可能暴露数据库连接信息，如数据库类型、服务器地址、用户名和密码。这些信息是保护网站数据的关键，一旦泄露，攻击者可以轻易地接管数据库，甚至完全控制整个网站。

在撰写本文时，我们认识到，对于开发人员来说，了解服务器的配置是必要的。可是在生产环境中，应当采取适当的措施来防止此类信息泄露。一种常见的做法是，在非生产环境中使用 phpinfo()，比如在开发或测试环境中，这样可以确保敏感信息不会暴露给潜在的攻击者。

在生产环境中，如果确实需要检查配置信息，建议手动检查特定的配置项，而不是使用 phpinfo() 函数一次性显示所有信息。除此之外还可以借助使用日志记录、访问控制列表（ACL）和其他安全措施来限制对这类敏感信息的访问。

总而言之保护网站免受潜在的安全威胁是每个开发人员和系统管理员的责任。防止在生产环境中使用 phpinfo() 函数是维护网站安全性的一个简单但至关重要的步骤。通过采取这些预防措施，可以大大降低网站遭受攻击的风险，确保用户数据和网站内容的完整性。