如何让PHP配置页禁止直接访问？当前验证方案是否安全？

现有代码的安全性问题 #

你当前的代码存在明显安全漏洞，并不安全：

• 请求方法绕过：只要用户用非GET请求（比如POST、HEAD）直接访问该页面，$_SERVER['REQUEST_METHOD'] == 'GET'条件不成立，就不会触发die()，直接绕过限制。
• 环境变量依赖风险：realpath(__FILE__)和realpath($_SERVER['SCRIPT_FILENAME'])的取值依赖服务器环境配置，部分特殊环境下可能被篡改或出现不一致，导致限制失效。

更优的实现方法 #

1. 入口常量验证（推荐） #

在应用主入口文件（比如index.php）中定义一个唯一常量：

define('APP_ACCESS_ALLOWED', true);

然后在配置页面开头添加验证：

if (!defined('APP_ACCESS_ALLOWED')) {
    die('Access Denied');
}

原理：只有当配置页面被主入口文件包含调用时，常量才会存在；直接访问配置页面时，常量未定义，直接拒绝访问。这个方法简单可靠，是PHP项目中最常用的防直接访问手段。

2. 将配置文件放在Web根目录外 #

把配置文件移动到服务器Web根目录（比如/var/www/html/）之外的路径（比如/var/www/config/），这样浏览器无法通过HTTP请求直接访问该文件，只能通过PHP脚本的include/require读取。这是物理层面的隔离，安全性最高。

3. 服务器配置层拦截 #

通过Web服务器的配置直接禁止访问该文件：

• Apache（.htaccess）：在配置文件所在目录添加.htaccess文件，内容如下：

<Files "config.php">
    Order Allow,Deny
    Deny from all
</Files>

• Nginx：在站点配置中添加：

location ~* config.php {
    deny all;
}

这种方法从服务器层面拦截请求，即使PHP代码出现漏洞，也能阻止直接访问。

4. 修正原逻辑（不推荐单独使用） #

去掉原代码中请求方法的限制，保留路径验证逻辑：

if (realpath(__FILE__) === realpath($_SERVER['SCRIPT_FILENAME'])) {
    die('Access Denied');
}

不过这种方法依然依赖环境变量，不如常量验证可靠，仅适合作为补充手段。

内容的提问来源于stack exchange，提问作者Chris Answood