php - 如果 htaccess 不允许浏览文件夹，将文档存储在 public_html 下是否安全？

Question

我了解通常建议将用户上传的文件等文档存储在 Web 根目录下。但是，如果文档存储在 public_html 中的文件夹中，并且 htaccess 设置为阻止浏览文件夹，并且上传文件的文件名是随机生成的长字符串，那么无论如何，有人如何能够在未经许可的情况下访问该文件？

标签： php.htaccesssecuritydocument

Answer 1

是的，如果 Web 服务器不允许通过配置进行公共访问，那么没有人可以访问这些文件。但是，不允许通过配置访问比根本不存在的文件更脆弱。粗心的管理员总是会错误地配置服务器并突然允许访问这些文件，如果您一开始就将文件保留在 webroot 之外，这根本就不是问题。也许您还有一个次要漏洞，其中有人可能会更改您的 .htaccess 文件，从而允许他们通过后门进入。同样，如果文件根本不存在，这不是问题。