爲什麼CURLOPT_FOLLOWLOCATION與open_basedir不兼容？

Question

當服務器管理員設置open_basedir時，PHP的cURL庫不允許以下HTTP重定向。 這就產生了像curl follow location error這樣的問題，有很多重複，並且大多數答案要麼是「切換到允許關閉open_basedir」或者abstraction inversions的託管提供商，以嘗試（以不同的質量水平）重新實現cURL的HTTP重定向邏輯。 PHP。

我只是想知道爲什麼PHP開發人員首先選擇使它們互相排斥。 當服務器管理員設置open_basedir服務時，PHP的拒絕跟蹤從一個HTTP或HTTPS URI重定向到另一個HTTP或HTTPS URI的策略的安全目的是什麼？

Answer 1

它最初實施，因爲libcurl不忽略Location: file://重定向。由於curl也允許本地文件訪問，因此會顛覆basedir約束。

這種設計的 「不兼容」 被鬆開在最近的版本，順便說一句：

• https://bugs.php.net/bug.php?id=65646
• https://github.com/php/php-src/commit/fba290c061027c24e4c8effdba37addd3430c3d4