跨目录问题，是不是bug啊

宝塔限制跨目录访问是在网站根目录生成一个 .user.ini文件，权限是644，测试不能跨目录，但有个问题，如果被传了木马，人家会很容易看到这个文件，然后会把这个里面的内容修改，这样不就可以跨目录了吗，岂不是形同虚设，
之前用的lnmp，他们限制跨目录是在php里加入限制，这样即使拿到一个站点权限，也无法看到php的配置文件，

.user.ini这个文件是锁定的，无法做任何修改。