php - htaccess 拒绝所有人的安全性如何

Question

我有一个文件，除了我自己的服务器(通过 php 请求)之外，我不想让任何人访问它。我在我的 .htaccess 中使用以下内容:

<Files myfile.xml>
    Order Deny,Allow
    Deny from all
    Allow from localhost
</Files>

但我想知道，这有多安全？无论如何，有人可以解决这个问题并直接访问文件吗？在我的 php 文件中，我有:

simplexml_load_file("myfile.xml")

获取数据，也在使用

if(isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest')

所以没有人可以直接访问该文件(只能通过 Ajax)你们觉得使用这种方法怎么样？

Answer 1

由于您是直接命名一个文件，因此只有 myfile.xml 是获取该文件的唯一途径时它才是安全的。如果某人对您的服务器具有 shell 级别的访问权限，并且可以使用不同的名称创建到该文件的硬链接(hard link)，例如ln myfile.xml heehee.txt，然后他们将能够通过 vi heehee.txt 获取文件的内容，因为他们不是通过“myfile”获取文件内容.xml'。

最佳做法是将文件完全保留在文档根目录之外。这不会阻止符号链接(symbolic link)/硬链接(hard link)攻击，但它确实阻止了某些旁路攻击。