如何保護PHP文件免遭下載？

Question

我對PHP，Apache，服務器解釋有疑問...我知道，當瀏覽器從Apache + PHP服務器加載PHP文件時，它將被解釋並且僅顯示HTML和純文本，但是有沒有辦法下載此文件而不是解釋它們？ 在這種情況下，這將是非常不安全的，因為MySQL密碼將是不安全的。

是否有任何安全措施可以防止這種情況發生，或者無法下載此文件？

Answer 1

只要您的服務器安裝正確，它就不會發生。

不過，一個好的步驟是將所有實際的密碼以及諸如此類的東西放到config.php中並包括它。 這樣一來，您就可以使用htacces來阻止該文件，以便您的服務器開始提供原始頁面時，該文件將始終無法訪問。

為了澄清是否創建.htaccess文件並將其放置在config.php所在的文件夾中，並帶有以下信息，即使直接請求也不會提供該文件。 只需在此文件中定義您的配置內容（數據庫名稱，用戶名，密碼，哈希等），然后在需要它的每個頁面的頂部包含include_once即可，您會很高興的。

<files config.php>
    order allow,deny
    deny from all
</files>

Answer 2

無法“下載” PHP文件，但是為了提高安全性，您可以將“核心” PHP文件放在public_html文件夾之外

Answer 3

除非PHP解釋器由於某種原因停止工作，否則不必擔心。 大多數服務器旨在在每次請求時解釋PHP文件，並且僅提供解釋后的HTML文本。 以防萬一，可以保護敏感的PHP設置文件，這通常是通過將它們放置在具有修改權限的根目錄之外來實現的。

Answer 4

某人下載文件的唯一方法是設置服務器來提供原始文件。 只要您沒有設置這樣的服務器，就無法訪​​問它們。 如果系統上唯一的服務器軟件是Apache，並且配置正確，則用戶將看不到您的源代碼。

但是，如果有人看到您的來源會使您的應用程序容易受到攻擊，則您可能需要考慮如何解決該問題。 存在許多安全的開源軟件-為什么您的開源軟件會引起問題？

Answer 5

通過正確的配置， apache可以確保始終對文件進行解釋，並且不會將其提供下載。

您總是可能會安裝錯誤更新或進行錯誤的配置，但是借助熟練的管理員和穩定的發布，這些情況根本不會發生。