Как сохранить файл php от выполнения, набрав точный URL-адрес страницы [duplicate]

У меня была эта проблема один раз, решена с помощью:

if (strpos($_SERVER['REQUEST_URI'], basename(__FILE__)) !== false) ...

, но идеальным решением является размещение файла за пределами корня документа веб-сервера, как указано в другом anwser.

<?php       
$url = 'http://' . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI'];
  if (false !== strpos($url,'.php')) {
      die ("Direct access not premitted");
  }
?>

Ранее упомянутое решение с проверкой версии PHP добавлено:

    $max_includes = version_compare(PHP_VERSION, '5', '<') ? 0 : 1;
    if (count(get_included_files()) <= $max_includes)
    {
        exit('Direct access is not allowed.');
    }

Я предлагаю не использовать $_SERVER по соображениям безопасности. Вы можете использовать переменную типа $root=true; в первом файле, которая включала другую. и используйте isset($root) в начале второго файла, который будет включен.

Вы можете использовать стиль phpMyAdmin:

/**
 * block attempts to directly run this script
 */
if (getcwd() == dirname(__FILE__)) {
    die('Attack stopped');
}

Альтернативой (или дополнением) к решению Чака было бы запретить доступ к файлам, соответствующим определенному шаблону, помещая что-то подобное в ваш .htaccess файл

<FilesMatch "\.(inc)$">
    Order deny,allow
    Deny from all
</FilesMatch>

У меня есть файл, который мне нужно действовать по-разному, когда он включен vs, когда он доступен напрямую (в основном, print() vs return()). Вот некоторые модифицированные коды:

if(count(get_included_files()) ==1) exit("Direct access not permitted.");

accessed всегда является включенным файлом, следовательно, == 1. & nbsp;

Если более точно, вы должны использовать это условие:

if (array_search(__FILE__, get_included_files()) === 0) {
    echo 'direct access';
}
else {
    echo 'included';
}

get_included_files () возвращает индексированный массив, содержащий имена всех включенных файлов (если файл исполняется beign, тогда он был включен и его имя находится в массиве). Итак, когда файл имеет прямой доступ, его имя является первым в массиве, все остальные файлы в массиве включены.

Я хотел напрямую ограничить доступ к файлу PHP, но также иметь возможность называть его через jQuery $.ajax (XMLHttpRequest). Вот что сработало для меня.

if (empty($_SERVER["HTTP_X_REQUESTED_WITH"]) && $_SERVER["HTTP_X_REQUESTED_WITH"] != "XMLHttpRequest") {
    if (realpath($_SERVER["SCRIPT_FILENAME"]) == __FILE__) { // direct access denied
        header("Location: /403");
        exit;
    }
}

1: Проверка количества включенных файлов

if( count(get_included_files()) == ((version_compare(PHP_VERSION, '5.0.0', '>='))?1:0) )
{
    exit('Restricted Access');
}

Логика: PHP завершает работу, если минимальное количество count не выполняется. Обратите внимание, что до PHP5 базовая страница не считается include.

2: Определение и проверка глобальной константы

// In the base page (directly accessed):
define('_DEFVAR', 1);

// In the include files (where direct access isn't permitted):
defined('_DEFVAR') or exit('Restricted Access');

Логика: если константа isn ' t, то выполнение не начиналось с базовой страницы, и PHP прекратил выполнение.

3: Авторизация удаленного адреса

// Call the include from the base page(directly accessed):
$includeData = file_get_contents("http://127.0.0.1/component.php?auth=token");

// In the include files (where direct access isn't permitted):
$src = $_SERVER['REMOTE_ADDR']; // Get the source address
$auth = authoriseIP($src); // Authorisation algorithm
if( !$auth ) exit('Restricted Access');

Недостаток с этим метод является изолированным исполнением, если токен-токен не предоставляется с внутренним запросом. Проверить через обратный адрес в случае конфигурации одного сервера или белый список адресов для серверной инфраструктуры с несколькими серверами или с балансировкой нагрузки.

4: авторизация маркера

Как и предыдущий метод, можно использовать GET или POST для передачи токена авторизации в файл include:

if($key!="serv97602"){header("Location: ".$dart);exit();}

Очень грязный метод, но также, возможно, самый безопасный и универсальный на (g7) 5: Конфигурация веб-сервера

Большинство серверов позволяют назначать разрешения для отдельных файлов или каталогов. Вы можете разместить все свои включения в таких ограниченных каталогах и настроить сервер на их отказ.

Например, в APACHE конфигурация сохраняется в файле .htaccess. Tutorial здесь .

Обратите внимание: , однако, что настройки для сервера не рекомендуются мной, потому что они плохо переносимы на разных веб-серверах. В таких случаях, когда алгоритм deny является сложным или список запрещенных каталогов довольно велик, он может сделать сеансы реконфигурации довольно ужасными. В конце концов, лучше всего обрабатывать это в коде.

6: Размещение включает в безопасный каталог ВНЕ САЙТА сайта

Наименее предпочтительным из-за ограничений доступа в серверных средах, но довольно мощный метод, если у вас есть доступ к файловой системе.

//Your secure dir path based on server file-system
$secure_dir=dirname($_SERVER['DOCUMENT_ROOT']).DIRECTORY_SEPARATOR."secure".DIRECTORY_SEPARATOR;
include($secure_dir."securepage.php");

Логика:

• Пользователь не может запрашивать какой-либо файл вне папки htdocs, как ссылки будут выходить за рамки адресной системы веб-сайта.
• Сервер php обращается к файловой системе изначально и, следовательно, может получить доступ к файлам на компьютере, точно так же, как обычная программа с требуемыми привилегиями.
• Поместив включенные файлы в этот каталог, вы можете убедиться, что php-сервер получает доступ к ним, а хотлинкинг запрещен пользователю.
• Даже если конфигурация доступа к файловой системе веб-сервера wasn [tg]

  Пожалуйста, извините мои неортодоксальные правила кодирования. Любая обратная связь оценена.

То, что вы также можете сделать, это защитить паролем директорию и сохранить все ваши php-скрипты там, конечно, за исключением файла index.php, поскольку на момент включения пароль не потребуется, поскольку это потребуется только для http доступ. то, что он будет делать, также предоставляет вам возможность доступа к вашим скриптам в случае, если вы этого хотите, поскольку у вас будет пароль для доступа к этому каталогу. вам нужно будет установить файл .htaccess для каталога и файл .htpasswd для аутентификации пользователя.

ну, вы также можете использовать любое из вышеперечисленных решений, если вы считаете, что вам не нужно доступ к этим файлам обычно, потому что вы всегда можете получить к ним доступ через cPanel и т. д.

Надеемся, что это поможет

Я не нашел предложений с .htaccess настолько хорошими, что мог заблокировать другой контент в этой папке, который вы, возможно, захотите разрешить пользователю, это мое решение:

$currentFileInfo = pathinfo(__FILE__);
$requestInfo = pathinfo($_SERVER['REQUEST_URI']);
if($currentFileInfo['basename'] == $requestInfo['basename']){
    // direct access to file
}

debug_backtrace() || die ("Direct access not permitted");

Самый простой способ - сохранить ваши данные за пределами веб-каталога. Таким образом, у сервера есть доступ к ним, но нет внешней машины. Единственная нижняя сторона - вам нужно иметь доступ к этой части вашего сервера. Потенциал роста не требует настройки, конфигурации или дополнительного стресса кода / сервера.

Лучше построить приложение с одной точкой входа, т. е. все файлы должны быть достигнуты из index.php

Поместите это в index.php

define(A,true);

Эта проверка должна запускать в каждом связанном файле (через require или include)

defined('A') or die(header('HTTP/1.0 403 Forbidden'));

if ( ! defined('BASEPATH')) exit('No direct script access allowed');

сделает работу гладкой