php - 将 PHP 文件存储在公共(public)目录之上并使用 require_once 加载它们是否安全？

Question

我使用以下方法在每个页面的顶部导入网站文件:

require_once('../file.php');

这是正确的做法吗？或者我应该使用不同的 PHP 函数/方法来访问私有(private)文件吗？我担心这种方法可能容易受到目录遍历攻击。

Answer 1

Is this the correct approach?

是的。

Or should I be using a different PHP function/approach to access private files?

不，将它们放在文档根目录之外就足够了。例如，如果您有一个 Local File Inclusion如果您的应用程序中存在漏洞，您应该专注于修复漏洞，而不是试图隐藏您的敏感文件。

默默无闻的安全根本不是安全。