有没有办法将 PHP include() 或 require() 对文件路径的访问列入黑名单？

Question

这听起来像是一个愚蠢的问题，而我这样做的方式目前并不安全，所以我希望能够提高我的安全性并减少我被恶意使用的机会。

我有一个“管理面板”。我可以添加/删除用户并任命他们为管理员等。我可能让他们拥有的权限之一是编辑文件。这是一个问题，因为我将密码存储在文件中并通过.htaccess 限制对它们的 Web 访问（托管服务提供商的 MySQL 使用率很低）。

因此，我提供了一个文件黑名单。但是，如果人们将 PHP 文件编辑为 include() 或 require() 登录处理文件并获取 root 帐户的会话密钥（这是我的登录处理脚本可以做的），然后劫持它并拥有root权限。

因此我想限制include/require的访问。

我想到的第一个想法只是简单地检查它是否需要/在他们编辑的文件的代码中包含该文件，但这似乎太“冒险”了。

然后，我想知道是否可以将某些文件/某些文件的 include/require 访问限制为仅特定 php 文件列表（例如需要该登录处理程序文件的登录/控制面板文件）。

如果不是，我是否应该完全取消文件编辑功能，因为即使我确实知道如何限制访问，这似乎也很冒险。

Answer 1

include() 不允许将路径限制为特定文件夹。 require()、require_once()、file_get_contents()、highlight_file()、fopen() 等也是如此......

您可以更改默认包含路径，但这是另一回事。仍然可以包括使用绝对路径或不同的相对路径。或者简单地使用不同的功能打印文件内容。

所以我的建议是完全禁止编辑文件。

如果您需要用户能够更新文本内容，请考虑使用翻译引擎（即使只针对一种语言）。如果他们还需要能够编辑样式，则可能与 markdown（存储在数据库中的 MD，转换为 HTML 以供显示）或来自所见即所得编辑器的 HTML 输出结合使用。