.htaccess被拒絕vs out wwwroot

Question

我需要上傳到我的服務器一個高靈敏度的數據文件，供PHP腳本使用。請告訴我什麼是最安全的方式和原因是：把它的文件夾中沒有下WWW根

用的.htaccess規則把它下的WWW根，但拒絕訪問

謝謝

• 非常多

Answer 1

如果您有ftp/sftp/ssh訪問此服務器，沒有理由不將它放在www文檔根目錄之外。如果您的主機服務僅允許您訪問www文檔根目錄，則必須使用第二種解決方案，但第一種解決方案要安全得多。

如果您的網站上存在易受攻擊的腳本，可以繞過Htaccess。有些工具如果放置正確，會將文件放在文檔根目錄中，並由遠程攻擊者上傳甚至替換。例如，有php "remote file managers"，它允許遠程攻擊者更改權限，編輯或替換現有文件，包括您的htaccess文件。如果您運行的是像Wordpress或其他CMS這樣的網站，它們本身並不完全超級安全，並且有很多第三方插件，這些插件可能容易受到攻擊，並且如果您碰巧使用了一個，你的htaccess文件的訪問限制可以被繞過。

當敏感信息位於文檔根目錄之外時，有權訪問文檔根目錄的攻擊者將無法訪問這些文件，並且腳本中的漏洞不太可能影響對這些文件的訪問。最有可能需要成爲系統級攻擊才能訪問文檔根外的文件。