用PHP搭一个能跑的小站，最省事的路径不是从框架开始，而是从一张空目录和三个文件开始。我上周帮朋友部署一个活动报名页，服务器只有1核1G，装Composer都嫌重，最后就是裸写PHP搞定的。整个过程不到四十分钟，访问量峰值两千多，没出岔子。

先看目录结构。根目录下建三个东西：index.php、data文件夹、.htaccess。就这么简单。别急着上MVC，那套东西等你日请求过万再说。小项目用PHP，图的就是快和直接。

index.php里写什么？接收表单、校验、存文件、返回结果。四步。表单提交用$_POST接，别用$_REQUEST，那玩意儿把Cookie和GET混在一起，调试时能把你逼疯。校验无非是filter_var过滤邮箱、trim去空格、mb_strlen限长度。存文件更简单，file_put_contents往data/里追加一行JSON，连数据库都省了。

有人会问并发写文件会不会冲突。会。但两千访问量分散在六小时里，每秒不到一个请求，冲突概率低到可以忽略。真要保险，加个flock排他锁，三行代码的事。我朋友那个活动页跑完整个周期，data目录里躺了八百多条记录，一条没丢。

再说.htaccess。这东西不是必须的，但加上能省心。把data目录屏蔽掉，防止有人直接访问/data/xxx.json把你的报名信息全拖走。规则就一句：RedirectMatch 403 ^/data/。Apache下直接生效，Nginx得换成location配置，别搞混了。

PHP版本选7.4还是8.x？新项目直接上8.2。性能差距明显，同样一段循环，8.2比7.4快将近三成。但老服务器如果还跑着CentOS 7，默认源里最高就7.4，别硬升，容易把系统搞崩。装个remi源再升，或者干脆用Docker跑个php:8.2-cli镜像，干净利落。

调试阶段把display_errors打开，error_reporting设成E_ALL。上线前记得关掉，否则报错信息里带路径和SQL语句，等于给攻击者递钥匙。我见过一个站把phpinfo()页面留在根目录，服务器环境一览无余，连MySQL密码都写在上面。这种低级错误每年都能碰到几个。

模板渲染怎么办？别碰Twig和Blade。原生PHP里直接写<?php echo htmlspecialchars($name); ?>就行。htmlspecialchars必须加，不加就是XSS漏洞。有人嫌转义麻烦，用strip_tags代替，那东西会把合法标签也删掉，用户输入个“<3”都能给你吞了。老老实实转义，别偷懒。

缓存？小站不需要。但有个技巧：把不常变的配置数组用var_export生成一个PHP文件，include进来比每次读JSON快得多。PHP的opcache会把这个文件缓存在内存里，连文件IO都省了。这招在配置项多的时候特别好使，比如地区列表、分类映射。

最后说部署。别用FTP传文件，容易传一半断掉导致页面白屏。用rsync或者git pull。服务器上装个git，本地推送到远程仓库，服务器拉取。回滚也方便，git reset --hard HEAD~1一条命令的事。我那个朋友后来要改报名截止时间，直接改代码推上去，十秒生效，连重启都不用。

PHP搭小站的精髓就一句话：用最少的抽象解决最具体的问题。框架是给团队协作和长期维护准备的，一个人三天要上线的东西，裸写反而更稳。当然，等你的index.php超过八百行，就该考虑拆文件了。那时候再引入框架也不迟。