PHP セキュリティ ソース コードが公開される

ソースコードの公開

インクルージョンに関する重要な問題は、ソースコードの公開です。この問題の主な原因は、次のような一般的な状況です。一緒にアウト 一緒にアウト 一緒にアウト 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒に 一緒にOutの '''s's's ows seve out '' s '' s 'selowward-download-setではない.incfile

lのタイプを決定します。

上記の状況では、URL を通じて含まれているファイルに直接アクセスすることになります。さらに悪いことに、これらは通常のテキストとして扱われ、PHP によって解析されないため、ソース コードはユーザーのブラウザに表示されます (図 5-1 を参照)。

図 5-1. サーバー内のソースコードの公開

この状況を回避するのは簡単です。アプリケーションを再編成し、含まれるすべてのファイルを Web サイトのメイン ディレクトリの外に配置することが最善の方法です。公開する必要があるファイルのみを Web サイトのメイン ディレクトリに配置することです。

おかしな話に聞こえるかもしれませんが、ソース コードが公開される可能性がある状況は数多くあります。私は、Apache 設定ファイルが誤って書き込まれた (そして次回起動するまで発見されなかった) こと、経験の浅いシステム管理者が Apache をアップグレードしたが PHP サポートの追加を忘れたこと、およびソース コードの公開につながるその他の状況を数多く見てきました。

できるだけ多くの PHP コードを Web サイトのメイン ディレクトリの外に置くことで、ソース コードの公開を防ぐことができます。少なくとも、すべてのインクルード ファイルをサイトのメイン ディレクトリの外に保管することが最善です。

一部の方法では、ソース コードが公開される可能性を制限できますが、問題を根本的に解決することはできません。これらの方法には、Apache の .inc ファイル (.php 接尾辞を使用するファイルなど) が PHP ファイルと同じように扱われるように設定すること、および .inc ファイルに対する直接リクエストを受け入れないように Apache を設定することが含まれます。

これらの方法には利点がありますが、サイトのホーム ディレクトリの外にインクルード ファイルを配置するほど安全なものはありません。アプリケーションを保護するために上記の方法に依存せず、せいぜい多層防御として扱います。

上記は PHP セキュリティ ソース コードの公開の内容です。その他の関連コンテンツについては、PHP 中国語 Web サイト (www.php.cn) にご注意ください。