php - 将脚本文件存储在 Web 根目录之外

Question

我看到建议将部分或全部 php 包含文件存储在 web 文档根目录(在我的例子中为用户名/public_html)以外的某个地方，具体原因是保护带有敏感信息的 php 文件(如数据库连接和登录信息)，以防万一网络服务器出现问题并停止保护 php 文件，并且它们对知道在哪里查看的外部人员变得“可见”。

这对我来说似乎有点偏执，但我猜人们之前已经被这件事激怒了，所以我愿意同意。该建议通常采取的形式是将包含文件放在类似“../include_files/”的位置，这样它就不会直接位于文档根目录中，也不会被外部人员通过 Web 服务器直接访问。

我的问题是:这种方式与仅将“include_files”目录放在文档根目录下并在其中粘贴 .htaccess 文件(带有适当的条目)之间在安全性方面是否存在显着差异？将 .htaccess 文件放在“../include_files/”中是否会有任何显着改进？

TIA，

蒙特

Answer 1

使用 .htaccess 会增加开销，因为 Apache 有另一个项目需要检查和处理。

将文件保留在 Web 根目录之外并不是偏执狂，这是一种很好的做法。如果有人直接访问其中一个“include”文件并且由于所有先决条件文件未加载而抛出显示错误，会发生什么情况？

每个文件都需要有自己的安全检查，以确保它在预期的环境下运行。 Web 可访问区域中的每个可执行文件都是潜在的安全漏洞。