在将此作为重复关闭之前，请注意我阅读了许多关于 SO 的类似问题，但没有一个回答我的疑问。
我正在尝试使用 jQuery.get() 调用我的 .php 文件
$.ajax({
url: url,
data: data,
success: success,
dataType: dataType
});
我正在使用 wordpress，我尝试调用 php 文件的 javascript 代码包含在页面标题中。
我将 php 文件放在服务器根目录下的 my-includes 文件夹中，因此我可以使用 url:/my-includes/xxx.php 访问它。 （感谢OSDM for his answer）
但现在可以使用 domain-name/my-includes/xxx.php 公开访问
我的问题是-
这就是网站的运作方式。这不是安全风险吗？
我可以让公众无法访问此文件，但让它在我的网站上正常工作吗？
【问题讨论】：
标签： javascript php
如果您将网址设为：url: '/folderintheroot/file.php'，无论网址是什么，它都会从您网站的根目录开始。这里的关键是：'/'开头。
关于安全问题。如果人们可以访问您的网站，这意味着他们可以看到从服务器发送到他们计算机的所有内容。因此，当使用 jquery.get() 调用该脚本时，它是完全相同的。 基本上任何公开的都是公开的。否则，您必须开始使用登录名和密码，但这是另一回事。
您可以做一件事，请参阅此处：Using .htaccess, prevent users from accessing resource directories, and yet allow the sourcecode access resources
【讨论】：
是的，这通常是网站的运作方式。您想提供给客户的任何内容都必须可供他们访问 - 否则它将如何进入他们的计算机？
是否存在安全风险？仅当您不希望人们看到该数据时，但如果是这种情况，那么您不应该提供它。对于只应发送给选定个人而不是使其普遍可访问的数据，您应该使用某种形式的身份验证 - 仅在用户已通过身份验证时才提供数据。
进行身份验证的方法有无数种，请查看PHP best practices for user authentication and password security 了解一些想法。
【讨论】：