php - 对用于安全登录的更高 Web 根访问权限感到困惑

Question

现在要尝试使用安全登录的形式，连接到数据库的 php 文件将存储在 Web 根目录 public_html 之上，因此它们不能被公开访问。

我的第一个问题是人们说你不能用 Javascript 调用这个 php 文件。

这是有道理的，因为 Javascript 在客户端运行并且可以公开信息，但这让我对如何安全地调用此 php 文件感到有点困惑。

我是否应该在 Web 根目录下有另一个 php 文件来调用 Web 根目录之上的内容敏感文件？

这是否可以通过“../../some-folder-above-web-root/some-php-above-web-root.php”来实现，如果是这样，那不是揭示了Web 根目录中的 php 文件？或者它的位置不重要，因为人们无法访问它(.. 黑客)。

总而言之，我真的只想知道如何正确、安全地与 Web 根目录之上的脚本进行通信。

Answer 1

是的，你是对的。 Web 根目录下应该有一个 PHP 文件，它将访问 Web 根目录之上的安全 PHP 文件。在 Zend Framework 中，有一个名为 bootstraper 的 index.php 文件，它可以做很多事情，包括:

• 设置错误显示级别
• 设置包含路径
• 定义全局常量
• 阅读配置文件
• 加载库类
• 获取前端 Controller
• 配置数据库连接
• 根据 RESTful url 和 MVC 确定路由
• 设置异常处理
• 调用请求的 Controller

我强烈建议使用 MVC 框架，它们是行业标准，并且具有针对许多常见问题(包括安全登录)的预构建功能。 Zend Framework 实现了访问控制列表样式的安全性，尽管您可以轻松地扮演自己的 Angular 色。其他著名的框架包括 Drupal、Yii、Codeigniter、Symphony、CakePHP 和 Joomla。

其他最佳安全实践是:

• 根据 mimetype 而非文件扩展名或文件类型过滤所有上传的文件
• 根据数据库表列类型和长度过滤所有 POST 和 GET 数据
• 在运行之前清理所有 SQL 字符串
• 更改服务器上的所有默认登录密码，例如:Apache、MySQL、FTP、SSH、SVN 等。
• 了解如何配置 php.ini、httpd.conf 等。
• 禁用任何未在您的框架、PHP、Apache 和 MySQL 中使用的服务、模块和插件
• 模糊你的代码
• 使用单元测试
• 了解一些有关渗透测试的知识