Webserver - Zugriff auf Skript verhindern?

Hallo zusammen,

ein Freund und ich haben momentan eine kleines Projekt am Laufen. Wir möchten eine Webseite programmieren. Ein Sache nervt mich aber und ich weiß nicht wie ich das verhindern kann.

Wie kann man verhindern, dass man jegliche HTML sowie PHP Datei über die Suchleiste aufrufen kann. Ich möchte ja, dass bestimmte Skripte nur aufgerufen werden können, wenn es von Programmcode so definiert wird.

Sorry, wenn ich mich etwas undeutlich ausdrück, bin auch kein Profi. Bei weiteren Fragen, gerne Fragen.

Danke

Answer 1

[apachy]

Standardmäßig regelt man das über die Ordnerstruktur.

Du hast z.B. etwas in der Form:

Projekt
|- src
|  |- Klasse1.php
|  |- Klasse2.php
|
|- public
|  |- css
|  |  |- style.css
|  |- index.php

Deine Domain zeigt nun nach Projekt\public. Innerhalb deines PHP-Skripts kannst du natürlich in Dateien da drüber zugreifen:

include '../src/Klasse1.php'

bzw. natürlich automatisch über Namespaces und Autoload. Jedoch kann niemand in einen Ordner vor public im Browser navigieren. Etwas ala:

https://www.domain.com/../src/Klasse1.php

funktioniert eben nicht.

Natürlich kann man für sowas auch RewriteRegeln nutzen, wie von odine vorgeschlagen bzw. dort sollten generell einige Sicherheitsprüfungen rein. Dies ist aber erstmal der einfachste Weg.

Woher ich das weiß: Berufserfahrung – Softwareentwickler/Projektleiter seit 2012

Answer 2

[EinAlexander]

Wie kann man verhindern, dass man jegliche HTML sowie PHP Datei über die Suchleiste aufrufen kann.

Du könntest es so programmieren, dass in der aufrufenden Seite eine Session-Variable gesetzt wird und die aufgerufene Seite nur dann angezeigt wird, wenn die Session-Variable richtig ist.

aufrufendeSeite.php:

<?php $_SESSION['access'] = TRUE; ?>
<a href="zielseite.php">Zielseite aufrufen</a>

zielseite.php:

<?php
if(!$_SESSION['access']) 
{
  echo "Zugriff verweigert";
  exit;
}
unset($_SESSION['access']);
?>
<p>Willkommen auf der Seite</p>

Damit erreichst Du, dass die zielseite.php nur von den Seiten aufgerufen werden kann, die zuvor die Variable $_SESSION['access'] gesetzt haben. Ein direkter Aufruf der Seite zielseite.php ist damit nicht mehr möglich.

Alex

Answer 3

[Lezurex]

Ich verstehe nicht ganz. Auf einem klassischen Webserver wie Apache kann man alles aufrufen, was im Webroot so zu finden ist. Gewisse Dinge kann man konfigurieren, aber nicht so dynamisch, wie du das wohl möchtest.

Wenn bestimmte Skripte nur aufgerufen werden sollen, wenn das gewollt ist, würde ich den Aufbau eurer Applikation ein wenig überdenken. Dann solltet ihr vor dem Aufruf des Skripts prüfen, ob der Besucher diese nun auch aufrufen darf. Wenn nicht, wird er auf eine Fehlerseite oder sowas weitergeleitet.

Woher ich das weiß: Berufserfahrung – Informatiker Applikationsentwicklung

Answer 4

[odine]

Man könnte es z.B. über die Zugriffsrechte im Verzeichnis und RewriteRegeln in der .htaccess realisieren

Woher ich das weiß: Studium / Ausbildung – Elektronik studiert, Abschluss als Dipl.-Ing.