PHP 保护目录免受直接 URL 访问

Question

我有一个 ADMIN 脚本。

admin/index.php

所有活动都是通过这个index.php 文件完成的。
用户在访问程序功能之前先登录。
$_SESSION['user_authenticated'] 已创建并设置为 true。

admin/template/..

此文件夹包含images、css、javascript 文件。
它们仅在此 ADMIN 中使用。 （仅在后端）

问题：

我需要保护admin/template/.. 目录中的所有内容不被直接访问。
它应该只对经过身份验证的用户可用。

我猜肯定有一个.htaccess 将请求重定向到check_session_auth_variable.php，它查看$_SESSION['user_authenticated'] 是true 还是false 并且重定向到请求的文件或引发 404 错误？

我知道最好的选择是将目录放在 Web 根目录之外，但在我的情况下，我需要保持目录结构不变。

Answer 1

我经常用这个

$redi_ext = $_SERVER['SERVER_NAME'].$_SERVER['REQUEST_URI'];
$php_verify = strpos($redi_ext, ".php");
if($php_verify !== false){ header('location: PAGE_NOT_FOUND_URL'); }

Answer 2

好的，这是我的答案 - 最好的答案确实是“不”。但是 images/js/css 在开发中相对重要（在上线之前公开），并且客户端预览表明我们不能执行基于 IP 的 apache 规则。所以，规则（从上面，稍微修改）是

RewriteEngine On

# Exclude the public and error directories from authentication
RewriteRule ^(public|error)($|/) - [L]

# Perform authentication via php
RewriteCond %{REQUEST_FILENAME} !auth.php
RewriteCond %{REQUEST_FILENAME} -f
RewriteRule .* auth.php?requested_file=$0 [QSA,L]

（因为我需要一些内容确实公开的子目录，请阅读：登录页面上使用的 images/css/js）

相关的php如下；对于

        if($authenticated){
            if($extension == 'php'){    

                call_user_func(function(){

                    $file_name = func_get_arg(0);

                    $path = getcwd();
                    chdir(pathinfo($file_name,PATHINFO_DIRNAME));
                    return include($file_name);
                    chdir($path);

                }, $file_name);

            } else {

                //set cache headers so the browsers don't have to refresh all the
                // static content
                header_remove('X-Powered-By');
                header_remove('Transfer-Encoding');
                header_remove('Cache-Control');
                header_remove('Pragma');
                header_remove('Expires');
                //header('Expires:');

                header('Content-type: '.$mime_type);
                readfile($file_name);
            }
        }

它的作用是使用call_user_func() 执行php 以停止命名空间污染，include() 执行PHP，并使用chdir() 确保脚本获得正确的当前工作目录。

这就是“简单”的部分；内容标题和 mime 类型必须被“猜测”（我使用 finfo 作为 mime 类型，但它在 2013 年有一个错误，这只会加剧问题）但即使是 apache 也不能 100% 正确地做到这一点...

然后删除图像的缓存控制标头，否则您不仅会经常像php页面一样...

可以这么说；如果你有粗管道和很多你不需要的 cpu 周期，你只需要这样做......

Answer 3

admin/.htaccess:

RewriteCond %{REQUEST_FILENAME} !check_auth.php
RewriteCond %{REQUEST_FILENAME} -f
RewriteRule .* check_auth.php?file=$0 [QSA,L] # pass everything thru php

管理员/check_auth.php：

$file = $_GET['file'];
if($_SESSION['user_authenticated']) {
    // please mind you need to add extra security checks here (see comments below)
    readfile($file); // if it's php include it. you may need to extend this code
}else{
   // bad auth error
}