.htaccess - 拒绝访问文件夹但允许通过 index.php 访问文件

Question

我在子文件夹中遇到 .htaccess 和 PHP 文件的问题。我想要实现的是阻止任何人访问我的子文件夹中的任何文件 - 但我希望我的 index.php 能够访问这些文件。

DOCROOT/subfolder -> www.somewebsite.com/subfolder/somefile.php
-> Access Denied

但是

[index.php]
<form action="/subfolder/somefile.php">
...
</form>
-> Success!

我很想通过使用 .htaccess 来解决这个问题。我试过deny from alland 还有一些RewriteRules 但这些规则也会杀死来自 index.php 的任何请求。 我试过了

Order deny,allow
Deny from all
Allow from 127.0.0.1
Allow from somewebsite.com
Satisfy Any

但是来自 index.php 的请求被拒绝了。有人可以帮忙吗？

Answer 1

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^http://www.hello.com/index.php
RewriteRule .*subfolder/somefile\.php - [NC,F]

第二行检查访问者是否不是来自某个 url。第 3 行阻止他们访问 somefile.php

Answer 2

这是人们的误解。仅仅因为您从另一个 PHP 文件链接到 PHP 文件并不意味着 index.php 文件正在访问它们。最终用户/浏览器仍然在访问它们，只是你的index.php 文件告诉它去哪里。与如何访问它完全无关。在您的两种情况下，浏览器都在访问它们。

您能做的最好的事情就是查看referer 字段。它可以很容易地伪造来解决这个问题，但这是你唯一能做的。

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^https?://(example.com|127\.0\.0\.1) [NC]
RewriteRule ^subfolder/ - [L,F]

其中“example.com”是您的网站。

Answer 3

在您的 .htaccess 中，您可以将任何请求重定向到该目录中除 index.php 以外的文件，如下所示：

<directory "DOCROOT/subfolder">
    RewriteCond %{REQUEST_FILENAME} !=/DOCROOT/subfolder/index.php
    RewriteRule ^/(.+)$ redirect.php [L]
</directory>