3

Em termos de roteamento, meu site se divide em duas partes: Primeiro, ele tem uma pasta app dentro do root, onde fica contido todos os arquivos do site em sistema MVC, e, segundo, ao lado do app, um conjunto de pastas e arquivo que servem pra interceptar a URL digita e redicionar pra route dentro do app que vai chamar o controller que vai chamar a view e aquela história toda.

EDIT: O servidor é em Apache!

site.com
|
+--- app
|     |
|     +--- public
|     +--- route
|     +--- ctrl
|     +--- model
|     +--- view
|     +--- bla
|     +--- bla
|     +--- bla
|
+--- tag
|     |
|     +---tag1.php
|     +---tag2.php
|     +---tag3.php
|
+--- page
|     |
|     +---page1.php
|     +---page2.php
|     +---page3.php
|
+--- index.php

Bom, o que eu quero fazer agora é: Bloquear o acesso direto via html a todos os arquivos do tipo php, que dentro da pasta de app, mas de modo que eles ainda estejam disponíveis caso eles sejam reaquistados via includes e ajaxs.

Sei que essa questão já foi perguntada N vezes por aqui mas o problema é que todas as soluções (sejam elas via .htaccess ou via edição direta no arquivo php) bloqueia o acesso para o sistema também e o site não carrega.

Enfim, como fazer isso da maneira correta?

4
  • 1
    Você usa apache? Commented 21/09/2018 às 19:45
  • Sim! Apache server! Commented 21/09/2018 às 19:50
  • Qual sistema operacional você usa? Windows? Linux? Commented 21/09/2018 às 20:21
  • Windows com wampserver Commented 21/09/2018 às 20:46

1 Resposta 1

2

Eu vou ser simples e direto. A solução que eu daria pra isso seria dividir estruturalmente na aplicação o que é público do que não é.

Como?

Criando uma pasta que contenha todos os arquivos que serão acessíveis ao público e apontando o Apache para ler a partir dessa pasta. Os outros arquivos, idependente de não estar acessíveis para o cliente (navegador), estariam acessíveis ao script, servindo perfeitamente as dependências.

Considere o seguinte cenário: Quero que o usuário acesse meu index.php, contact.php e about.html, porém ele não pode acessar nenhum script de conexão com banco de dados ou classes do projeto, que está dentro da pasta app.

Eu faria assim (simulando ambiente Linux):

projeto/
       public/
             index.php
             contact.php
             about.html
             css/
                default.css
             js/
               default.js
               jQuery.js

      app/
         classes/
                DBConnection.php
                Mail.php

Notou a estrutura acima? Você pode simplesmente apontar o VirtualHost do seu Apache direto para a pasta projeto/public, assim:

 <VirtualHost *:80>
    #importante apontar para public, não para raiz do projeto
    DocumentRoot /var/www/projeto/public
    ServerName meusite.com
</VirtualHost>

Com isso, quando você acessar o seu site, você limitará o usuário a acessar somente index.php, contact.php e about.html, bem como as pastas js e css, com seus respectivos conteúdos.

Observação: Se você estiver usando SO como Ubuntu, você provavelmente acessará o VirtualHost na pasta /etc/apache2/sites-avaliable.

É assim que faço em todas as minhas aplicações.

E você pode, pelo public/index.php, fazer um include de um arquivo que está na pasta app/classes normalmente. O PHP conseguirá acessar, mas o navegador não.

Por exemplo, usando uma estrutura semelhante a citada anteriormente, vamos acessar pelo public/index.php configurações armazenadas em uma pasta app.

Assim:

app/
   constantes.php
   functions.php
views/
     index.tpl
public/
     index.php

No arquivo app/constantes.php, eu tenho:

 define('ROOT_DIR', realpath(__DIR__ . '/../'));
 define('VIEWS_DIR', ROOT_DIR . '/views');

No meu public/index.php, eu faço

 <?php

  include __DIR__ . '/../app/constantes.php';

  exit(ROOT_DIR); // '/var/www/projeto

Resumindo: Defini public como a raiz da aplicação.

O erro que muitas pessoas cometem é definir a raiz como a pasta do projeto. Porém, dependendo a situação, isso pode ser ruim, e força o programador a ficar criando várias bagunças no .htaccess, sem necessidade alguma.

O padrão usado acima é seguido pelo Laravel Framework.

10
  • 1
    Por favor, nunca imite o que o CodeIgniter faz, que é colocar um if em cada script de classe para verificar se uma constante, definida do index.php, existe, para determinar se você acessou o script diretamente. Isso é feio demais. Commented 21/09/2018 às 20:06
  • Então tudo que for privado coloca na pasta app? Commented 21/09/2018 às 20:08
  • @JorgeMatheus ou em qualquer outra na raiz. O importante é lembrar que, com essa configuração, o apache só conseguirá acessar o que está dentro de public, mas o PHP conseguirá fazer o include das coisas de fora. Commented 21/09/2018 às 20:11
  • Show. No caso de eu ter uma pasta chamada img, para não acessarem, coloco um arquivo index.php redirecionando para a página inicial ou com uma mensagem 403. Com essa estrutura citada por você, a pasta img entraria na pasta "privada"? Commented 21/09/2018 às 20:14
  • Boa ideia! Mas tem alguma coisa errada! Eu tenho que colocar o .htaccess no root (meusite.com) com os seguintes comandos: <VirtualHost *:80> DocumentRoot /meusite.com/public/ ServerName meusite.com </VirtualHost> E colocar tudo o que está fora de app dentro da pasta public? Commented 21/09/2018 às 20:15

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .