php - 防止 PHP 打开 documentroot 以上的文档

Question

希望有人可以对此有所了解。

我的 php 脚本目前可以通过使用诸如 require_once(../../passowrds.php); 之类的相对路径打开文档根目录上方的文件；

1）无论如何强制在文档根目录上方打开绝对路径？

2）访问文档根目录以上文件的最安全方法是什么？

提前致谢

Answer 1

无论如何要强制在文档根目录上方打开绝对路径？

我将其解释为“是否可以使用相对路径来防止以上 docroot 访问？”。答案是：据我所知，没有手动验证路径字符串（寻找过多的“..”等）

访问文档根目录上方文件的最安全方法是什么？

这取决于您对“最安全”的定义；你的情况是什么，这可能会导致问题？

但是，一个好的开始是验证控制它的任何用户输入，而不是简单地执行例如require_once($_GET["file"]).

Answer 2

写入要求文件的最安全方法$a = 'samplevalue'; 和上面写的哪个passowrds.php； if($a != 'samplevalue'){ header('位置：http ://www.example.com/ '); }

密码.php：

if($r_key != 'a23b24c25samplekey' or empty($r_key)){ header('Location: http://www.example.com/'); exit(); } // r_key not equal a23b24c25samplekey or empty forward main page
bla.. bla.. bla..

示例.php：

  $r_key = 'a23b24c25samplekey';
  require_once(../../passowrds.php);

并且可以用于相对路径；

   $path = $_SERVER['DOCUMENT_ROOT'];
   $path .= "/yourfolder/passowrwds.php";
   require_once($path);

要求一次（../../passowrds.php）；比 $path = $_SERVER['DOCUMENT_ROOT']; 最安全 $path .= "/yourfolder/passowrwds.php"; 需要一次（$路径）；