更改.htacces 文件以允许程序员在HTML 文件（扩展名.html）中使用PHP 代码会损害页面的安全性吗？
这就是为什么带有任何 PHP 脚本的文件都被赋予扩展名.php 的原因吗？
【问题讨论】：
标签： php html .htaccess security
没有。如果文件被解释为 php 文件并执行，则不会产生任何安全问题。您甚至可以根据需要制作任何扩展名，如“.asp”、“.jsp”。此外，这可能听起来更安全，因为攻击者看到扩展名并认为它是一个 asp 文件。
但在我看来，这不是一个好的做法，可能会使开发更加混乱。我认为如果它是一个 php 文件，扩展名应该是 .php
如果您希望提供安全性，您应该检查 url 重写和隐藏扩展。这种方式比较方便。
【讨论】：
实际上更改 PHP 文件的文件结尾是相当危险的。我亲身经历了一些问题：
如果其中一种情况发生，您的 PHP 文件中包含的任何程序现在都可以被所有人阅读。如果您的 PHP 文件中有配置设置（数据库连接等）或一些常见的编程错误 (print $_GET['search'];)，每个攻击者现在都会关注它们。
如果您真的想保留 HTML 文件结尾，请考虑使用 mod_rewrite。
【讨论】：
您可以添加到.htaccess 的唯一与安全相关的内容是用户身份验证。除此之外，.htaccess 无法提供任何东西来增强您的应用程序的安全性。
不要为了安全目的而依赖 .htacess 体操。
如果您要移植现有网站并分阶段进行，那么使用与您的应用程序的其他区域可能已添加书签或引用的 URL 相同的 URL 是有意义的；在这种情况下，您可以使用 .html
如果可能，尝试使用重定向，您可以使用.htaccess 做到这一点；但在某些情况下（例如，如果您尝试将作为 POST 表单目标的现有文件转换为 PHP）添加重定向会使表单无法使用，因为有效负载将被丢弃。
【讨论】：
实际上，让包含 PHP 脚本的文件带有 .html 扩展名可以提供更多的安全性，而不是更少。这种被称为“默默无闻的安全”的安全性提供了少量的保护。当恶意黑客遇到 HTML 页面时，他/她可能会假设该页面是由 HTML 生成的，而不是包含 PHP 脚本的页面的输出。但是，如果黑客很老练，他/她可以通过检查 Web 服务器返回的标头信息来验证您是否在服务器上运行 PHP。最好设置 php.ini 设置expose_php = Off 以避免在标头信息中暴露 PHP；见Manual。
如果您使用 .htaccess 文件或能够修改您的 Web 服务器配置设置，它将通过 PHP 解释器解析所有 HTML 文件（包括那些包含纯 HTML 的页面）来影响性能。发送不需要 PHP 解析的页面无疑是一种浪费的努力，但是所涉及的时间量据说是微不足道的。如果您可以修改 Web 服务器的配置文件中的设置，那会更好，因为使用 .htaccess 文件可能会导致您的网站运行缓慢。
这种安全性本身不足以提供最佳安全性。您仍然必须将所有表单数据视为可能受到污染并对其进行验证。了解您的表单值应该是什么并测试这些值。最好的安全性涉及多层保护。
请参阅Manual，了解有关“默默无闻的安全性”的更多想法。请注意，该页面不建议将 URL 重写作为安全措施，尽管它是一个选项。人们应该对 URL 重写有一个很好的理解，因为这个主题远非微不足道。
"...配置mod_rewrite很容易出错 变成安全问题。”（见Apache Week, mod_rewrite）
但是，如果您忽略在 php.ini 文件中设置 expose_php = Off，则 URL 重写可能不会像您想象的那样真正隐藏 PHP。如果您运行包含此行的 php 脚本：
print_r(get_headers($url,1));
当我将 $url 设置为我最喜欢的网站之一的页面时，您可以获得一些非常有启发性的信息，如下部分结果所示：
Array
(
[0] => HTTP/1.1 200 OK
[Server] => nginx/1.6.2
[Date] => Thu, 18 Dec 2014 09:59:06 GMT
[Content-Type] => text/html; charset=utf-8
[Connection] => close
[X-Powered-By] => PHP/5.5.11-2
【讨论】：