6

Eu estou pensando em criar um microframework php bem limitado apenas para uso próprio, no entanto me deparei com uma situação, a maioria dos frameworks usa uma pasta chamada public e nos servidores geralmente de produção apontamos esta pasta com DocumentRoot através do httpd.conf.

As estruturas geralmente é assim:

/home/user/projeto
├── data/
├── vendor/
├── application/
└── public/
    ├── .htaccess
    └── index.php

O vhost é semelhante a isto:

<VirtualHost *:80>
    ServerName myapp.localhost.com
    DocumentRoot "/home/user/projeto/public"
    <Directory "/home/user/projeto/public">
        AllowOverride all
    </Directory>
</VirtualHost>

Mas como no meu caso é um microframework simples para uso pessoal eu pensei em usar assim a estrutura de pastas:

/home/user/projeto
├── index.php
├── .htaccess
└── exemplo/
    ├── application/
    ├── vendor/
    └── data/

Neste segundo exemplo o /home/user/projeto/.htaccess esta assim:

IndexIgnore *

<IfModule mod_rewrite.c>
    RewriteEngine On

    RewriteRule "^exemplo/" "index.php" [L]

    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^ index.php [L]
</IfModule>

Note que eu usei RewriteRule "^exemplo/" "index.php" [L] pra prevenir acessar a o conteúdo da pasta exemplo/ aonde se encontra os arquivos do projeto, bibliotecas e classes e a pasta data/ que é usada para gravar dados não publicos. Também caso seja acessado assim: http://site/exemplo/ ele irá executar o /home/user/projeto/index.php.

O motivo de querer usar a segunda maneira, é poder facilitar portar a aplicação para outros servidores sem precisar configurar o DocumentRoot e reiniciar o Apache, tornando as configurações mais fáceis.

A pergunta é:

  • Usar RewriteRule "^exemplo/" "index.php" [L] para impedir o acesso a pasta exemplo/ aonde tenho as pastas data/, vendor/ e application/ pode ser inseguro ou pode causar algum outro tipo de problema?
7
  • Eu parei de responder porque fiquei meio confuso, e apesar de não haver problemas de segurança visualmente, sinto que algo me está a escapar, porque do jeito que está o usuário já está praticamente no directório exemplo entendes ? Ele basicamente já possui acesso a esse directório pelo simples facto dele estar no directório público, a única coisa que separa ele do resto é o redirect que é accionado caso seja acessado.
    – Edilson
    Commented 12/12/2015 às 23:45
  • Não seria o mesmo que colocar vários ficheiros index.php com header(location) no directório exemplo e nos que sucedem este ?
    – Edilson
    Commented 12/12/2015 às 23:46
  • Olha, desactiva todos os .htaccess existentes e cria um ficheiro index,php na pasta exemplo com header("location:../"); exit();, e testa.
    – Edilson
    Commented 12/12/2015 às 23:49
  • 1
    Não seria a mesma coisa, mas é basicamente o mesmo, é isso que eu queria provar. Apesar de poder parecer conveniente, acho que seria bom se mantivesses a primeira forma, embora pareça mais trabalhosa. Ainda assim é-me vaga a ideia.
    – Edilson
    Commented 12/12/2015 às 23:52
  • 2
    @GuilhermeNascimento nao se aplica pro seu caso, pq é pra rodar em varios lugares diferentes, mas só de curiosidade: eu tenho um sistema em que o DocumentRoot é o PHP e não a pasta. Assim todo o caminho é gerenciado pelo PHP, e nem .htaccess usa. Só que passa a nao existir mais nada estático no site. nessa hora o header("X-Sendfile: $filename"); ajuda a nao sobrecarregar o PHP.
    – Largato
    Commented 13/12/2015 às 0:01

1 Resposta 1

2

Normalmente usa-se a técnica de verificação de uma constante.

Desse modo como vc mostrou é muito interessante pois deixa o código limpo e livre da gambiarra da técnica da constante.

A portabilidade disso vai depender de como traduzir essa regra do mod_rewrite para outros servidores como o Nginx e IIS. Mas não é difícil.

Quanto a efeitos colaterais ou questões de segurança, não há como o usuário ter acesso desde que a regra esteja funcionando.

Algo que pode acarretar em problemas é o fato de usar <IfModule mod_rewrite.c>.

A utilidade disso é evitar que ocorra erro interno quando o servidor não possuir o mod_rewrite.

Por outro lado, se o servidor não possuir o mod_rewrite, a regra não será lida e nenhum erro será disparado. Isso é um pouco perigoso pois ocorrerá de forma silenciosa deixando a pasta desprotegida.

Uma dica é, remover a condicional que verifica se o mod_rewrite está carregado.

Todavia, é mais fácil encontrar um servidor sem mod_rewrite do que encontrar um servidor que ofereça somente uma pasta de acesso público.

Ambos os casos podem existir num mesmo servidor. Nesse ponto, não tem muita saída a não ser usar a técnica da constante.

4
  • Realmente talvez seja este o único e principal problema, há que ter em conta o problema de reescrita aqui - RewriteRule "^exemplo/" "index.php" [L]
    – Edilson
    Commented 13/12/2015 às 0:02
  • 3
    Portabilidade e estrutura sem ter que configurar internamente a toda hora, era essa a pergunta. E o porquê é simples, demasiados parágrafos tornam o texto mais curto e fácil de ler.
    – Edilson
    Commented 13/12/2015 às 0:09
  • No pior dos casos dá pra tentar bloquear o acesso no .htaccess, ao menos se não funcionar o rewrite, a pessoa não chega a acessar a pasta. Isso se o allowoverride permitir, claro...
    – Largato
    Commented 13/12/2015 às 1:20
  • @Bacco então mas o Deny funciona antes dos módulos pois ele é Core do Apache, se criar um .htaccess dentro da pasta exemplo eu não conseguirei criar um rota assim http://site/exemplo/test pois irá gerar HTTP_403, eu sei que é improvável criar uma rota com o mesmo nome da pasta, mas a ideia é deixar livre também.
    – Syzoth
    Commented 13/12/2015 às 1:22

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .