php.ini is het configuratiebestand dat PHP inleest bij het starten, met honderden instellingen die bepalen hoe PHP zich gedraagt. Denk aan memory_limit, het geheugen dat één script mag gebruiken, of upload_max_filesize, de maximale grootte van een bestand dat je via een formulier uploadt. Elke regel heeft de vorm naam = waarde, bijvoorbeeld memory_limit = 256M.
Waar het bestand staat, verschilt per installatie, en vaak leest PHP daarna nog losse .ini-bestanden uit een extra map. Met php --ini op de opdrachtregel zie je welke bestanden geladen zijn, en in de uitvoer van phpinfo() staat het pad bij Loaded Configuration File. Elke PHP-versie heeft bovendien een eigen php.ini, dus een wijziging voor PHP 8.3 geldt niet voor 8.4.
Niet elke instelling mag overal worden gezet. Een instelling met de modus INI_ALL kun je overal wijzigen, ook in een script met ini_set(), terwijl INI_PERDIR alleen in php.ini, .htaccess of .user.ini kan. Een paar instellingen, zoals disable_functions, mogen alleen in php.ini zelf staan. Een draaiende PHP-FPM- of LiteSpeed-server leest een gewijzigde php.ini pas na een herstart of reload, dus soms lijkt een wijziging niets te doen.
Op shared hosting kun je de centrale php.ini niet zelf bewerken, omdat die voor alle accounts op de server geldt. Op de CloudLinux-servers van KeurigOnline (cl01 tot en met cl09) pas je de waarden aan in DirectAdmin, via Extra Features, Select PHP Version en Options. Zet post_max_size daar altijd hoger dan upload_max_filesize, anders stranden grote uploads alsnog.
Geschiedenis
De standaardwaarden in php.ini zijn in de loop der jaren een stuk veiliger geworden. Het bekendste voorbeeld is register_globals, dat formuliervelden automatisch als variabelen in een script zette en daarmee veel lekken veroorzaakte.
Belangrijke mijlpalen:
- 22 april 2002: PHP 4.2.0 zet register_globals standaard uit
- 30 juni 2009: PHP 5.3.0 voegt .user.ini toe voor instellingen per map
- 1 maart 2012: PHP 5.4.0 verwijdert register_globals en safe_mode helemaal (changelog)
- Oktober 2026: Na het lek CVE-2026-109618 is session.upload_progress.enabled = Off de aanbevolen noodmaatregel tot de update
Bronnen
