如何配置使Apache可执行Python脚本且禁止浏览器直接读取

方案1：将脚本移至网站根目录之外 #

这是最彻底的安全方案，直接避免web服务器对外暴露脚本文件：

• 把Python脚本从网站根目录（比如/var/www/html/scripts）移动到web根目录外的路径，例如/var/www/private_scripts
• 在PHP的exec命令中使用脚本的绝对路径调用：

  $cmd = "python3 /var/www/private_scripts/myscript.py";
  exec("$cmd > /dev/null 2>&1 & echo $!;");
  

• 设置文件权限，仅允许Apache运行用户（通常是www-data）拥有读和执行权限：

  chown www-data:www-data /var/www/private_scripts/myscript.py
  chmod 700 /var/www/private_scripts/myscript.py
  

这样外部用户无法通过HTTP访问到脚本，Apache进程却能正常读取并执行脚本。

方案2：用.htaccess限制单个/所有Python脚本的HTTP访问 #

如果不想移动脚本位置，可以通过.htaccess禁止外部HTTP请求访问.py文件，但不影响Apache本地读取执行：

• 在存放Python脚本的目录（比如scripts/）下创建或修改.htaccess文件，添加以下规则（适配Apache 2.4+）：

  <FilesMatch "\.py$">
      Require all denied
  </FilesMatch>
  

  或者针对单个脚本：

  <Files "myscript.py">
      Require all denied
  </FilesMatch>
  

这个规则仅拦截通过浏览器发起的HTTP请求，Apache进程在本地文件系统层面读取脚本内容交给Python解释器的操作不受影响——之前你遇到的问题是误禁止了目录的文件系统读取权限，而非仅HTTP访问权限。

方案3：将Python脚本编译为二进制可执行文件 #

通过打包工具把脚本转为二进制，彻底隐藏源码：

• 使用pyinstaller打包脚本为单文件可执行程序：

  pip install pyinstaller
  pyinstaller --onefile myscript.py
  

• 把dist/目录下生成的可执行文件（比如myscript）放到合适位置，修改PHP中的调用路径为该可执行文件的绝对路径
• 设置权限为仅允许Apache用户执行：

  chown www-data:www-data /path/to/myscript
  chmod 500 /path/to/myscript
  

二进制文件无需Apache拥有读取权限即可执行，同时外部用户即使拿到文件也无法查看源码。

方案4：替换PHP调用Python的方式（可选优化） #

如果想更灵活地处理脚本输出和状态，可以用proc_open替代exec，它能直接捕获脚本的标准输出、错误输出，无需依赖文件重定向：

$descriptorspec = array(
    0 => array("pipe", "r"),  // 标准输入
    1 => array("pipe", "w"),  // 标准输出
    2 => array("pipe", "w")   // 标准错误
);

$process = proc_open("python3 /path/to/myscript.py", $descriptorspec, $pipes);

if (is_resource($process)) {
    $output = stream_get_contents($pipes[1]);
    $errors = stream_get_contents($pipes[2]);
    fclose($pipes[0]);
    fclose($pipes[1]);
    fclose($pipes[2]);
    $return_value = proc_close($process);
    
    // 处理输出和返回值
}

这个方式不解决脚本暴露问题，但能提升PHP与Python脚本交互的可控性。

内容的提问来源于stack exchange，提问作者Apolymoxic