php - 允许所有类型文件的文件上传网站危险吗？

Question

在创建上传共享网站时，用户是否可以上传自己的 php 脚本并让它自动运行，即使他们不知道网站上传者将该脚本文件放在哪里？例如，如果网站上传了您的 php 文件，但将其命名为随机名称并将其放在一个秘密目录中，该脚本是否仍可以通过某些 PHP OnLoad 函数联系另一台服务器？或者脚本是否必须由某人执行才能运行其内容？

Answer 1

只需将上传内容放入您网站中无法访问的文件夹中即可。（您可以使用 .htaccess 文件来实现）。

比你只需要一个处理下载的脚本。你现在应该知道，如果有人想上传一个 exe 文件，他也可以重命名它。但是，如果您只想防止上传和访问 php 代码的攻击，则此方法应该可以正常工作。

Answer 2

PHP 脚本不能自动运行。我的意思是，它必须由某人或某物执行，因为您计算机上的软件需要由某人或某物执行。

您可以使用 htaccess 保护您的上传目录，以防止浏览器访问/执行。