Какой лучший способ защиты от атаки обхода пути?

Этот параметр сделает чистые URL-адреса дружественных SEO. Removing.php с видимым URL-адресом и гарантируя, что доступ к URL-адресу без .php будет по-прежнему отображать .php-файл. Мне не удалось найти другой ответ, который был достигнут на нескольких потоках.

Не забудьте включить функцию перезаписи. В Debian или Unbuntu linux будет работать

sudo a2enmod rewrite

и

sudo service apache2 restart

Измените соответствующий раздел ваш файл apache2.conf к следующему.

<Directory /var/www/>
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
        RewriteEngine On
        RewriteCond %{REQUEST_FILENAME} !-d
        RewriteCond %{REQUEST_FILENAME} !-f
        RewriteRule (.*) $1.php [L]
        RewriteCond %{THE_REQUEST} /([^.]+)\.php [NC]
        RewriteRule ^ /%1 [NC,L,R]
</Directory>

Если вы используете .htaccess для перезаписи, убедитесь, что apache2.conf по крайней мере имеет эти опции.

<Directory /var/www/>
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
        RewriteEngine On
</Directory>

Наконец, при установке Apache вам может потребоваться также установить AllowOveride All в .conf-файл в / etc / apache2 / sites-available или / etc / apache2 / sites-enabled. Похоже, переписывание из файла apache2.conf, в отличие от .htaccess, выполняется быстрее.