如何限制 php 脚本读取/写入文件 [windows/apache] 的权限？

Question

（这里是php/apache初学者）

简介

通过 PHP 使用 Apache（作为 Windows 上的服务）我已经意识到，虽然默认情况下网络用户只能访问 \htdocs 内容，但 PHP 脚本本身可以在任何地方读取（不限于\htdocs)。如果我们不确定 PHP 脚本的内容并希望限制文件系统访问会发生什么？

问题

假设我们希望允许人们更改 .php 文件的内容，但同时应用文件系统级别限制。例如：script1.php 可以读/写/执行任何东西 c:\apache\htdocs。它可以从 c:\f1\ 只读但可以不完全访问任何其他目录。

问题

如何确保他/她的 PHP 程序在 Windows 中读取或写入时具有非常特定的权限（例如，file_exists()、mkdir()、proc_open()、fwrite()、GD:imagejpg()）在\htdocs之外？

其他想法

我了解到 apache 作为服务以 LocalSystem 帐户运行在大多数本地路径上具有完全读写 (777) 权限。 1

• 如果我创建一个新的（虚拟？）用户帐户，将其分配给 apache 服务并根据我的喜好更改该特定帐户的 [rwx] 权限，是否正确？
• 有没有办法为不同的 PHP 脚本创建不同的组限制？ 例如。除了c:\apache\htdocs，script1.php 也可以在c:\f1 中读写，而script2.php 可以在c:\f2 中只读
• 此外，是否可以创建一个“权限管理器”——一个 PHP 脚本，在执行时将权限分配给其他 php 脚本？ 例如所有小于 120 字节的 .php 脚本都可以读写 c:\f1

感谢您的宝贵时间，

-福蒂斯

Answer 1

在您的 Apache 设置中，httpd.conf，应该有这样的内容：

#
# If you wish httpd to run as a different user or group, you must run
# httpd as root initially and it will switch.
#
# User/Group: The name (or #number) of the user/group to run httpd as.
# It is usually good practice to create a dedicated user and group for
# running httpd, as with most system services.
#
User www-data
Group www-data

这将是 Apache 运行您网站的用户和组。您只需限制该用户对您不希望他们访问的文件的权限。