15

Eu tenho uma aplicação PHP e não quero que o usuário possa digitar na barra endereço o nome de um arquivo específico, por exemplo { exemplo.com/enviar.php }, todos os meus arquivos são chamados pela index.php, como eu poderia evitar acesso direto a todos eles exceto a index?

Detalhe: Eu utilizo o servidor Apache rodando no Debian 8.

3
  • 7
    Uma das técnicas é colocar fora da raiz do site: Se seu site está, por exemplo em /web/httpdocs/index.php você pode por o enviar.php em /web/enviar.php . Mas isto só funciona com includes. Outra solução seria bloquear o acesso direto com algumas regras em .htacess. Tem várias maneiras, depende muito do servidor de páginas utilizado. (tou postando como comment só para adiantar o assunto), vamos ver se alguém posta algo mais elaborado ou se indica possíveis respostas já existentes. PS: Muito legal você continuar usando o site, espero que possamos ajudar melhor neste caso aqui.
    – Largato
    Commented 18/11/2015 às 23:55
  • 3
    Ah, uma dica: se quiser acrescentar mais detalhes na pergunta, como o tipo de servidor que usa, ou mais detalhes da estrutura de arquivos que tem (ou que vai precisar), use o editar logo abaixo da questão. Detalhes geralmente ajudam na elaboração de respostas.
    – Largato
    Commented 19/11/2015 às 0:00
  • 1
    Obrigada pela resposta, eu vou aguardar mais soluções pois meu projeto já tem uma quantidade considerável de arquivos, seria difícil migrar, acho que as regras do htaccess serão úteis. Commented 19/11/2015 às 0:03

4 Respostas 4

11

Eu uso no htaccess do meu blog em wordpress a seguinte regra

<Files *.php>
    Order Deny,Allow
    Deny from all
</Files>

<Files index.php>
    Order Allow,Deny
    Allow from all
</Files>

A primeira parte nega o acesso a todos os arquivos .php e a segunda libera o acesso apenas ao index.php

Assim no meu caso wordpress se a pessoa tentar acessar um arquivo como o wp-config.php que fica na raiz recebe um aviso de página não encontrada ao invés da página.

Pode ser usado em sites que não sejam wordpress também

7

Você poderia fazer isso criando uma pasta onde ficaram todos os seus aquivos protegidos e dentro dessa pasta você criaria um arquivo .htaccess colocando essa instrução abaixo dentro dele, que faz com que o acesso a pasta seja proibido por requisição http e assim retornando um erro 403 para o usuário que tentar acessar qualquer arquivo dentro da pasta:

Deny from all

E na raiz da sua aplicação onde estiver o arquivo index.php você poderia colocar outro .htaccess com os seguintes comandos abaixo, caso você queira trabalhar com url amigável:

RewriteEngine on

RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ /index.php/$1 [L]

Onde dentro do arquivo index.php você teria que tratar o argumento $1 da requisição.

A estrutura das pastas poderia fica assim:

inserir a descrição da imagem aqui

1
  • Interessante essa ideia de colocar um .htaccess em cada pasta q você queria negar o acesso direto via http! É a melhor ideia que eu já vi!!! Commented 21/09/2018 às 18:58
6

Por ter desenvolvido meu projeto de modo procedural, sem utilizar nenhum framework (apenas um miniframework pra autenticação de sessão que só funciona para arquios na raiz :/) ou estrutura padrão (design pattern), acabei passando por este dilema recentemente, e a melhor solução que encontrei foi colocar tudo que não vai ser acessado por http (basicamente arquivos incluídos por include ou require) numa pasta, e no .htaccess dela:

deny from all

E numa outra pasta coloquei o que tem que ser acessado por http (*JS, *CSS, e alguns html's) e na raiz coloquei os arquivos principais, onde são restringidos através de sessão. E acho que sem um design pattern definido e um framework, não tem muito mais o que ser feito.

Eu sei que isso não responde a pergunta, só quis passar minha experiência recente antes de traduzir (livremente com a ajuda do Google) essa excelente resposta do SOen:

Você tem certeza que quer fazer isso? Mesmo com arquivos css, js e de imagens...?

OK, primeiro confira se mod_access está instalado com o Apache, e em seguida, adicione o seguinte ao seu .htaccess:

Order Deny,Allow
Deny from all
Allow from 127.0.0.1

<Files /index.php>
    Order Allow,Deny
    Allow from all
</Files>

A primeira directiva proíbe o acesso a quaisquer arquivos, exceto a partir de localhost, e por causa de Order Deny, Allow Allow, a segunda directiva só libera o acesso à partir de index.php.

Advertência: Não há espaço após a vírgula na linha da ordem.

[EDIT:]

Para permitir o acesso aos arquivos .css ou * .js usar esta directiva:

<FilesMatch ".*\.(css|js)$">
    Order Allow,Deny
    Allow from all
</FilesMatch>

Você não pode usar diretrizes para <Location> ou <Directory> dentro de arquivos .htaccess.

Uma opção seria a utilização de <FilesMatch ".*\.php$"> em torno do grupo primeiro allow,deny group, e depois explicitamente permitir o acesso a index.php.

5

Uma técnica segura é por recuo de diretório.

Também podemos resolver com outras técnicas como o a definição de uma constante ou o regras de permissão de acesso a uma pasta pública.

Tal recurso depende do servidor de páginas utilizado.

Considero o recuo de diretório mais seguro porque protege tanto no lado cliente quanto no lado servidor.

Para entender melhor, imagine uma situação onde o dono do site tem acesso ao FTP. Mas você não quer que esse sujeito tenha acesso aos códigos do sistema. É recomendável não deixar o sistema tão aberto mesmo para o dono, principalmente quando é um leigo, pois fatalmente um dia o sujeito vai mexer nos códigos, provocando bugs ou algo mais grave.

Como fazer o recuo de diretório?

Na pasta pública teria apenas o arquivo index.php.

Nesse arquivo index.php, você faz um include num arquivo numa pasta privada.

Exemplo de estrutura.

/var/www/website.foo/public
/var/www/website.foo/app
/var/www/website.foo/logs

No exemplo acima, o diretório raíz é /var/www/website.foo/public

O arquivo index.php estaria dentro desse diretório /var/www/website.foo/public/index.php

Todos os outros arquivos .php do sistema, coloque fora da pasta public.

/var/www/website.foo/app/foo.php
/var/www/website.foo/app/bar.php

Como esse diretório não é acessível ao público, está seguro. Porém, uma terceira pessoa com acesso ao servidor via FTP ou SSH, ainda pode ter acesso aos arquivos.

Caso queira reforçar a segurança, não dê acesso SSH ou FTP a esse diretório para pessoas não autorizadas.

Para o cliente que quer ter acesso FTP, libere-o para acessar somente a partir do diretório público.

Ainda assim corre o risco do cliente executar scripts php dentro da pasta pública.

Para esses casos, também é possível bloquear execução de scripts PHP na pasta pública. O problema é que o index.php não funcionaria mais.

Uma solução para isso é criar um link simbólico onde até mesmo o index.php poderia ficar fora da pasta pública.

Dessa forma temos todos os arquivos, incluindo o index.php, protegidos tanto do visitante quanto do usuário FTP.

Em sistemas Linux, pode ser feito o link simbólico da seguinte forma:

ln -s "/var/www/website.foo/app/index.php"  "/var/www/website.foo/public/index.php"

Em ambiente Windows:

mklink /j "c:\www\website.foo\app\index.php"  "c:\www\website.foo\public\index.php"

Um impecilho para o uso de recuo de diretório ou link simbólico é quando os sistema é executado num ambiente onde não temos permissão para executar linhas de comando e, em muitos casos onde nem mesmo é possível fazer recuo de diretório. Essa situação é comum em hospedagem compartilhada de estrutura defasada.

1
  • Isso que eu ia comentar, se não for uma VPS ou uma hospedagem boa, o usuário está na "roça". Infelizmente o que mais vemos aqui no Brazuca é esse tipo de estrutura em sites de hospedagem.
    – user35937
    Commented 19/11/2015 às 10:11

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .