PHP：帶有寫入權限的緩存文件夾的tcpdf安全考慮

Question

我在我的web服務器上安裝了tcpdf並使用它來生成pdf發票。它有一個緩存文件夾，我的Web服務器用戶組www-data可以創建和刪除文件。

能黑客

一）創建該文件夾中的文件和

二）執行它們爲PHP？

我應該將緩存文件夾移動到www目錄之外嗎？我試圖cd進入文件夾，但用我自己的用戶名獲得許可錯誤，所以我想知道如果這一步是必要的。

Answer 1

如果您沒有對用戶組進行任何更改，則www數據組僅用於記錄目的，並且不能被瀏覽器訪問。數據用戶將能夠創建，但不應該刪除任何東西。但至於擔心黑客訪問你的網站，只要你沒有改變這個用戶的任何權限。