这个跟服务器环境又关系。无论你用apache还是ngnix的时候，设置root虚拟根目录的时候，如果index.php是public文件夹下面，那么服务器软件只会让外部只能访问到public下面的所有东西，而public外层的所有东西都是不可以在外部访问(这个是linux对apache或者nginx的权限限制问题)。另外有些人喜欢把upload放到public文件下面，其实这个安全性也是不够的，正确的应该是放到项目根目录，然后在public下面创建文件夹的软连接，还有设置upload文件夹不可以执行任何动态语言。