PHP:允许为用户上传 .php 文件，如何阻止它们运行？

Question

我允许人们上传他们的项目文件，我已经加强了安全措施，但我只需要直截了当。我怎样才能停止执行他们正在上传的子目录中的任何文件？

我在考虑 .htaccess 但我需要为每个新子目录生成一个(我认为)，我是否需要废弃我当前的代码并使用 .php 文件以发送 header 以强制文件上的 DL 而不是运行？

您认为对此有什么简单而安全的解决方案？它只是上传到像 uploads/~foo/bar.html 之类的子目录，这样看起来不错，所以如果它能保持这种格式就更好了。

Answer 1

将其放入 uploads/.htaccess:

RemoveType 应用程序/x-httpd-php .php

这将适用于所有子文件夹。还要确保您不解析用户文件夹中的 .htaccess。这可以通过主服务器配置中的 AllowOverride None 来完成，也可以通过首先不允许上传 .htaccess 文件来完成。