php - Composer : where should I put the "vendor" folder?

Question

我的顾虑与所解决的问题类似 here .我正在使用 Composer 安装 Amazon AWS 组件来设置 SES(电子邮件)服务。

据亚马逊documentation , 我需要包括 autoload.php为了使用我安装的类。这意味着 autoload.php必须在我的网络目录 (/var/www/html) 中。

我没有完全理解为我之前提到的 SO 问题提供的答案，但它本质上是说供应商目录不应该在 web 目录中。但如果我这样做，我将如何require autoload.php/vendor 目录下的文件？

总的来说，我很困惑我应该如何正确设置它。任何帮助，将不胜感激。

编辑: This文章还建议将/vendor/文件夹放在 web 目录中。这是标准吗？我应该注意哪些安全风险？由于任何文件夹中都没有 index.html 文件或任何内容，因此可以自由查看和访问所有已安装文件的目录。这肯定不是好事吗？

Answer 1

“网络目录”是直接通过 HTTP 提供给任何询问正确 URL 的人的目录。因此，如果有人认为您的域上托管了一个文件夹“/foo”，而您没有采取预防措施，而实际上该文件夹存在，并且它不包含可用作目录索引的文件，那么任何人询问可能会得到该文件夹​​的目录列表，列出所有文件。

现在，这种网络托管文件夹与 require 之间的区别PHP 中的声明是 PHP 不使用指向可公开访问的 HTTP 托管文件夹的 URL，而是使用指向文件的文件系统路径。

大多数初学者混淆了这一点:因为 PHP 在初学者级别是关于在 web 目录中散布一堆脚本，这些脚本会发出大量包含指向其他脚本的链接的 HTML，他们认为 HTML 中的链接和文件PHP 中的路径是相同的，并且必须相同。这是错误的。它们不必相同，它们相同是因为没有选择更好的方法。

下面是现代 Web 应用程序的构建方式。如果部署整个项目，服务器上的主目录可能会被称为 /var/www/projectX .这个容器里面有一些文件，比如 /var/www/projectX/composer.json .因此，还会有一个目录 /var/www/projectX/vendor .此外，某处将是一个正在访问的 PHP 脚本(我暂时推迟了它如何被访问的信息)，并且该位置应该是 A) /var/www/projectX/script.php或 B) /var/www/projectX/public/script.php .这两个脚本想要使用 Composer 提供的类并且需要包含自动加载。

由于文件位置的原因，位置A的脚本需要运行require 'vendor/autoload.php'; , 位置 B 的脚本需要 require '../vendor/autoload.php'; .这只是使用从脚本到自动加载文件的正确相对路径的问题。您甚至可以在两种情况下都使用绝对路径:require '/var/www/projectX/vendor/autoload.php';也会起作用。这里的要点是:只要脚本执行了 autoload.php 文件，您如何需要它并不重要。路径不会影响任何东西。

现在 HTTP 托管和访问脚本。网络服务器至少配置了一个目录作为域的主目录暴露给外界。这叫做DOCUMENT_ROOT ，它可以在任何地方。现在这取决于您的服务器的配置，哪个目录是预先选择的，以及您是否可以更改该设置(通过在命令行上管理您的服务器，或通过单击 GUI 中的某些设置)。

如果您的服务器有目录 /var/www/projectX设置为文档根目录，世界上所有的人都可以访问案例A中的脚本为http://example.com/script.php ，以及案例 B 中的脚本 http://example.com/public/script.php ，以及供应商文件夹为 http://example.com/vendor/... .这不是很好，但可以通过放置 .htaccess 来避免文件内部或以其他方式限制访问。

更好的解决方案是告诉服务器只服务目录/var/www/projectX/public作为文档根。这将阻止对脚本 A 和供应商文件夹的 HTTP 访问，而对脚本 B 的访问是通过 http://example.com/script.php 完成的。 .

在这两种情况下，两个脚本都成功地包含了 Composer 的自动加载，因为 HTTP 访问的限制不适用于文件系统访问。

糟糕的网站托管只允许您使用第一种情况，您唯一可以访问的目录直接是文档根目录，而无法更改它。

更复杂的网站托管使用固定的子目录，如 public或 html或 webroot作为文档根目录，允许您隐藏敏感文件，以免通过 HTTP 提供服务。

最好的网站托管允许您选择应作为文档根托管的子目录。

在任何情况下，从脚本指向 Composers autoload.php 的路径根本不受影响。