【发布时间】：2012-11-06 10:07:25
【问题描述】：
大多数著名和广泛使用的网站（如https://www.sandbox.paypal.com/）都使用cgi-bin 文件夹来放置文件。在 Web 应用程序开发中使用 cgi-bin 文件夹或获得任何安全性以将文件放入 cgi-bin 文件夹是否重要。
【问题讨论】：
标签： web-applications security cgi-bin
【发布时间】：2012-11-06 10:07:25
【问题描述】：
关于 PayPal，我相信他们已经做到了，因为他们的网站最初是基于传统上使用 cgi 技术构建的 Per web 应用程序构建的。
通常，出于额外安全措施的目的，最好将所有代码（类、接口、函数、第三方库等）放在 DOCUMENT_ROOT 文件夹之外。当你的应用程序被分成几个部分时尤其重要——比如控制器、模型、视图、模板，因为可以防止恶意用户在寻找漏洞时尝试分别调用应用程序的每个部分。对于存储敏感数据的文件也很重要，例如数据库凭据 - 您不希望它们被黑客获取。通过将 DOCUMENT_ROOT 中的所有内容移动到 cgi-bin 文件夹中，您不会获得太多安全性，因为 cgi-bin 文件夹中的所有内容都必须可以从 Web 访问，因此黑客仍然可以调用/打开其中的任何文件。最好将代码和敏感文件移到网络上不可用的目录，只留下应用程序的进入点文件（例如 index.php）。以及其中的静态资源（Javascript、图像文件等）。
【讨论】：