Apache中调用PHP OOP API出现403权限禁止错误的求助

使用纯OOP PHP构建的测试API此前运行正常，但调用GET请求/api.php::getfinantatori时出现403禁止访问错误。已尝试修改.htaccess添加规则RewriteEngine On RewriteRule ^api.php-(.*)$ api.php?$1 [QSA,L]，但问题未解决。

相关代码 #

api.php #

<?php
require_once 'autoloader.php';
require_once 'classes/finantator.php';

// Handle API requests
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    $requestUri = $_SERVER['REQUEST_URI'];
    $apiEndpoint = '/api.php::';
    $commandPos = strpos($requestUri, $apiEndpoint) + strlen($apiEndpoint);

    if ($commandPos !== false) {
        $commandWithParams = substr($requestUri, $commandPos);
        list($command, $queryParams) = explode('?', $commandWithParams);
        parse_str($queryParams, $params);

        $finantatorAPI = new FinantatorAPI();

        switch ($command) {
            case 'getfinantatori':
                $finantatori = $finantatorAPI->getFinantatori();
                echo json_encode($finantatori);
                break;
            case 'getfinantatoribyparam':
                $filterFinantatorId = isset($params['finantatorId']) ? $params['finantatorId'] : null;
                $filterAbreviere = isset($params['abreviere']) ? $params['abreviere'] : null;
                $filterDescriere = isset($params['descriere']) ? $params['descriere'] : null;

                $filteredFinantatori = $finantatorAPI->getFinantatoriByFilter($filterFinantatorId, $filterAbreviere, $filterDescriere);
                echo json_encode($filteredFinantatori);
                break;
            default:
                http_response_code(400); // Bad Request
                echo json_encode(array('error' => 'Invalid command'));
        }
    }
}

finantatori.php #

<?php

class Finantator {
    public $finantatorId;
    public $abreviere;
    public $descriere;

    function __construct($finantatorId, $abreviere, $descriere) {
        $this->finantatorId = $finantatorId;
        $this->abreviere = $abreviere;
        $this->descriere = $descriere;
    }
}

class FinantatorAPI {
    private $data; // Array to hold the objects

    function __construct() {
        $this->data = $this->readDataFromCSV(); // Read data from CSV and populate the array
    }

    private function readDataFromCSV() {
        $data = array();

        // Replace 'path/to/your/csv/file.csv' with the actual path to your CSV file
        $csvFile = fopen('F:\xampp\htdocs\model\finantatori.csv', 'r');

        if ($csvFile !== false) {
            while (($dataRow = fgetcsv($csvFile)) !== false) {
                // Assuming the CSV columns are in the order: finantatorId, abreviere, descriere
                $finantatorId = $dataRow[0];
                $abreviere = $dataRow[1];
                $descriere = $dataRow[2];

                $data[] = new Finantator($finantatorId, $abreviere, $descriere);
            }
            fclose($csvFile);
        }

        return $data;
    }

    public function getFinantatori() {
        return $this->data;
    }


    public function getFinantatoriByFilter($filterFinantatorId = null, $filterAbreviere = null, $filterDescriere = null) {
        $filteredData = array();

        foreach ($this->data as $finantator) {
            if (($filterFinantatorId === null || $this->isWildcardMatch($filterFinantatorId, $finantator->finantatorId)) &&
                ($filterAbreviere === null || $this->isWildcardMatch($filterAbreviere, $finantator->abreviere)) &&
                ($filterDescriere === null || $this->isWildcardMatch($filterDescriere, $finantator->descriere))
            ) {
                $filteredData[] = $finantator;
            }
        }

        return $filteredData;
    }
    private function isWildcardMatch($filterValue, $actualValue) {
        return fnmatch($filterValue, $actualValue, FNM_CASEFOLD);
    }
}

排查与修复建议 #

1. 特殊字符::触发服务器安全拦截 #

403错误最可能的原因是服务器（如Apache）的安全模块（比如ModSecurity）将URL中的::识别为潜在攻击字符，直接拦截请求。

解决方法：

• 更换URL格式，避免使用::这类特殊分隔符，改用常规格式：
  • 方案1：改用查询参数，请求改为/api.php?command=getfinantatori，同时修改api.php的逻辑：

    // 替换原有的URI解析逻辑
    $command = isset($_GET['command']) ? $_GET['command'] : '';
    $params = $_GET;
    unset($params['command']); // 移除command参数，保留其他过滤参数
    

  • 方案2：改用路径式URL，比如/api/getfinantatori，配合.htaccess重写规则：

    RewriteEngine On
    RewriteRule ^api/([a-zA-Z0-9_]+)$ api.php?command=$1 [QSA,L]
    

    然后修改api.php中获取command的方式为$_GET['command']。

2. 修正.htaccess规则（若坚持原URL格式） #

你当前的.htaccess规则针对的是api.php-前缀，和实际使用的api.php::不匹配，完全无效。如果一定要保留::格式，添加以下规则：

RewriteEngine On
# 允许URL中的::字符，避免被拦截
AllowEncodedSlashes NoDecode
# 重写api.php::xxx格式的请求到api.php?command=xxx
RewriteRule ^api.php::([a-zA-Z0-9_]+)$ api.php?command=$1 [QSA,L]

同时修改api.php中的逻辑，从$_GET['command']获取指令。

3. 检查文件与目录权限 #

确保api.php、finantatori.php以及CSV文件所在目录的权限正确，Apache/Nginx进程需拥有读取权限（通常设置为644文件权限，755目录权限）。

4. 查看服务器错误日志 #

查看XAMPP的Apache错误日志（通常在xampp/apache/logs/error.log），日志中会包含403错误的具体原因，比如ModSecurity拦截、权限问题等，根据日志信息针对性修复。

内容的提问来源于stack exchange，提问作者Nisipeanu Ionut