将文件存储在服务器上的哪个位置，以便无法通过浏览器访问它们？

Question

在阅读有关允许用户将文件上传到您的服务器时维护安全性的问题和答案时，一些答案表示将文件存储在浏览器无法访问的位置，以及“文档根目录之上”。

如果我有一个在 'var/www/' 中运行的网站，例如：

var/www/MySite/Index.html

“在文档根目录之上”是指在 MySite 文件夹之上，但仍在 var/www 文件夹中，还是指在与 var/www 完全不同的位置，完全在服务器主机的文件系统上的其他位置？

另外，为什么让浏览器无法访问文件会使其更安全？谢谢。

Answer 1

我通常不会太担心将某些文件移到 www 文件夹之外，因为如果您的 www 文件夹容易受到攻击（无论是通过 apache 还是其他方式），您还有许多其他问题，而且这些文件无论如何都可以访问。将其移出 www 文件夹也会影响应用程序的可移植性，因为大多数托管公司无论如何都不允许访问您的用户 www 文件夹之外的内容。

建议在 apache 中启用 Override 并将具有以下内容的 .htaccess 文件放在您想要限制的任何文件夹中：

Order deny,allow
Deny from all

这样您的应用程序是独立的和可移植的。

Apache2.4 和 PHP5.5 进一步强化了在操作系统级别访问和执行不需要的代码的问题，因此我还建议尽可能使用这些软件包的最新版本。