如何禁止直接访问网站后台功能文件且支持表单触发调用

我完全理解你作为Web编程新手的顾虑——像PHPMailer.php、login-inc.php、logout-inc.php这类处理敏感逻辑的后台文件，如果被人直接通过URL访问，确实存在令牌、密码泄露的风险。你需要的是彻底禁止所有用户（包括管理员）直接打开这些文件，但不影响表单提交、按钮触发这类合法的服务器内部调用，对吧？

最适合这个需求的方案就是用.htaccess配置规则，操作简单且效果可靠，下面给你两种常用的实现方式：

1. 精准禁止指定文件的直接访问 #

如果只是要屏蔽几个特定的后台文件，在网站根目录的.htaccess文件中添加以下规则：

# 禁止直接访问指定后台文件
<FilesMatch "^(PHPMailer|login-inc|logout-inc)\.php$">
    Order Allow,Deny
    Deny from all
</FilesMatch>

这段规则会匹配文件名以PHPMailer、login-inc、logout-inc开头且后缀为.php的文件，直接拒绝所有外部直接访问请求。而表单提交、页面内部的include/require这类服务器端调用完全不受影响，因为这些请求不属于“直接通过URL访问”的范畴。

2. 批量屏蔽整个后台目录的直接访问 #

如果你的所有后台功能文件都集中在一个单独的子目录（比如/backend/），直接屏蔽整个目录会更省心：
在根目录的.htaccess中添加：

RewriteEngine On
# 访问后台目录直接返回404页面
RewriteRule ^backend/ - [R=404,L]

如果你想更明确地告知用户该资源禁止访问，也可以改成返回403状态码：

RewriteEngine On
RewriteRule ^backend/ - [R=403,L]

另外，你也可以在后台目录（比如/backend/）里单独创建一个.htaccess，内容更简洁：

Order Allow,Deny
Deny from all

为什么这个方案不影响表单/按钮触发？ #

当用户点击按钮提交表单时，是由前端页面（比如登录页login.php）向后台文件发送请求，这属于服务器内部的请求转发，并非用户直接在浏览器地址栏输入URL访问，所以.htaccess的拦截规则不会作用于这类合法调用。

很高兴看到你最后已经用.htaccess解决了问题，作为新手能快速找到精准的安全解决方案，真的很棒！

内容的提问来源于stack exchange，提问作者Meon