Fat Free Framework中如何防止直接访问HTML文件？

这里有几个靠谱的方案，能彻底解决用户直接访问HTML模板看到未渲染变量的问题：

1. 将模板文件移至Web根目录之外（最安全） #

把你的HTML模板文件从可直接HTTP访问的目录（比如/ui/）移到Web服务器根目录以外的位置，比如项目根下的templates/文件夹。然后在Fat Free Framework的入口文件（通常是index.php）中配置模板路径：

// 假设Web根目录是public/，templates在public的上级目录
$f3->set('UI','../templates/');

这样一来，用户根本无法通过HTTP请求直接访问到模板文件，服务器会返回404，从根源上杜绝了问题。

2. 通过服务器配置拦截直接访问 #

如果无法移动模板文件，可以通过Web服务器的配置禁止直接访问模板文件：

Apache环境 #

在模板文件所在的目录（比如/ui/）下创建.htaccess文件，添加以下内容：

<Files "*.html">
    Order Allow,Deny
    Deny from all
</Files>

这会阻止所有直接访问.html文件的HTTP请求，但Fat Free Framework通过PHP读取文件不受影响（因为PHP是服务器端进程，通过文件系统权限访问文件，而非HTTP请求）。

Nginx环境 #

在Nginx的站点配置server块中添加如下规则：

location ~ /ui/.*\.html$ {
    deny all;
    return 403;
}

同样，这条规则会拦截所有直接访问/ui/下.html文件的请求，返回403禁止访问。

3. 利用Fat Free Framework路由拦截 #

在FFW的路由配置中添加一条规则，拦截所有直接访问模板文件的请求：

$f3->route('GET /ui/*.html', function($f3) {
    // 返回403禁止访问，也可以跳转到登录页或自定义错误页
    $f3->error(403);
});

当用户直接访问/ui/login.html这类路径时，会触发这条路由，返回403错误，而通过/login这类正常路由访问时，FFW会正常渲染模板并返回处理后的页面。

内容的提问来源于stack exchange，提问作者nameless