PHP安全之防止.inc配置信息暴露

.inc文件在很久以前都是配置文件了,这样如果apache没有配置好很容易配置文件给爆露出来,下面我就来介绍具体的设置办法.

发现现在的项目是把所有的包含文件放在主目录下面,网站目录为public,除了入口文件,所有的源码及配置文件,都在网站目录外.

刚开始没有意识到为什么这么做,后来想了想,真的很有必要,否则很容易就吧源代码和一些重要信息暴露在外了.

(1) 比如说.inc扩展名的配置文件,和其它文本类型的文件,直接就可以在浏览器上访问了,很多能这里面就有数据库的账号啊.

(2) 如果你的apache还没有对PHP支持的时候,php文件也会默认作为文本类型在浏览器上访问【升级apache,或修改配置的时候可能出现】

如果将你的程序包含在网站目录之外,就避免了保留私密信息的危险,当然,你可以在apache上配置如禁止在浏览器上访问.inc文件,代码如下:

1. <Files ~ ".inc$"> 
2.     Order allow,deny 
3.     Deny from all//开源代码phpfensi.com 
4. </Files> 

类似的很多细节很容易被运维人员忘记.