linux - .htaccess 被拒绝与 wwwroot 之外

Question

我需要将一个高度敏感的数据文件上传到我的服务器，以供 PHP 脚本使用。请告诉我什么是最安全的方式以及原因:

• 将其放在不在 www 根目录下的文件夹中
• 将其置于 www 根目录下，但使用 .htaccess 规则拒绝访问

非常感谢

Answer 1

如果您可以通过 ftp/sftp/ssh 访问此服务器，则没有理由不将其放在 www 文档根目录之外。如果您的托管服务只授予您访问 www 文档根目录的权限，那么您将不得不使用第二种解决方案，但第一种更安全。

如果您的站点上存在易受攻击的脚本，则可以绕过 Htaccess。有一些工具，如果放置正确，文件会在文档根目录中，并被远程攻击者上传甚至替换。比如有php "remote file managers"这允许远程攻击者更改权限、编辑或替换现有文件，包括您的 htaccess 文件。如果您运行的是像 Wordpress 或其他一些 CMS 这样的网站，它们本身并不是非常安全，并且有很多第三方插件，这些插件可能容易受到攻击，如果您碰巧使用一个，您的 htaccess 文件的访问限制可能会被绕过。

当敏感信息位于文档根目录之外时，有权访问文档根目录的攻击者将无法访问这些文件，并且脚本中的漏洞影响对这些文件的访问的可能性要小得多。很可能需要系统级漏洞利用才能访问文档根目录之外的文件。