如何限制PHP文件仅能通过index.php加载，禁止单独访问？

嘿，我来给你几个靠谱的解决方案，之前也碰到过类似的需求，咱们一个个说：

这是目前最稳妥的方案，因为Session是服务器端存储的，几乎没法被伪造。

• 先在index.php的最顶部（任何HTML输出之前）启动会话并设置一个授权标记：

<?php
session_start();
// 设置一个唯一的授权标识，值随便定，只要前后一致就行
$_SESSION['allow_test_access'] = true;
?>
<!-- 下面是你的页面内容 -->
<div class="load"></div>

• 然后在test.php的最顶部检查这个Session标识，没有的话直接拒绝访问：

<?php
session_start();
// 验证是否来自index.php的合法请求
if (!isset($_SESSION['allow_test_access']) || $_SESSION['allow_test_access'] !== true) {
    // 要么跳回index.php，要么输出错误提示
    header("Location: index.php");
    exit(); // 一定要加exit，防止后续代码执行
}
?>
<!-- 这里是test.php的正常内容 -->

✨ 优势：只要用户不是通过正常打开index.php的流程，直接访问test.php就会被拦截，哪怕关闭浏览器再打开test.php也不行，完全符合你的需求。

这个方法靠检查请求的来源页面实现，优点是简单，但要注意：部分浏览器、代理可能会屏蔽或伪造Referer头，所以安全性没那么高，适合对权限要求不严格的场景。
在test.php顶部加这段代码：

<?php
// 拿到当前站点的域名+index.php路径
$allowed_referer = $_SERVER['HTTP_HOST'] . '/index.php';
// 解析请求来源的路径
$referer = isset($_SERVER['HTTP_REFERER']) ? parse_url($_SERVER['HTTP_REFERER'], PHP_URL_PATH) : '';
// 判断来源是否是index.php
if (strpos($referer, '/index.php') === false) {
    header("Location: index.php");
    exit();
}
?>

⚠️ 注意：如果用户手动修改Referer或者浏览器不发送这个头，这个方法就会失效，所以仅作为备选。

因为你是用JS的load()方法加载test.php，本质是AJAX请求，所以可以给请求加个临时令牌，双重验证更安全。

• 第一步，在index.php里生成令牌并存到Session，同时放到页面的DOM元素里：

<?php
session_start();
// 生成一个随机的安全令牌
$access_token = bin2hex(random_bytes(16));
$_SESSION['test_token'] = $access_token;
?>
<!-- 把令牌存在div的data属性里 -->
<div class="load" data-token="<?php echo $access_token; ?>"></div>

• 第二步，在main.js里加载test.php的时候带上这个令牌：

// 从DOM里拿到令牌
const token = document.querySelector('.load').dataset.token;
// 用jQuery的load方法传令牌参数
$('.load').load(`test.php?token=${token}`);

// 如果用原生JS的话，代码是这样：
// fetch(`test.php?token=${token}`)
//   .then(res => res.text())
//   .then(html => document.querySelector('.load').innerHTML = html);

• 第三步，在test.php里验证令牌的有效性：

<?php
session_start();
// 检查令牌是否存在且匹配
if (!isset($_GET['token']) || $_GET['token'] !== $_SESSION['test_token']) {
    header("Location: index.php");
    exit();
}
// 可选：验证通过后销毁令牌，避免重复使用
unset($_SESSION['test_token']);
?>
<!-- test.php的内容 -->

这个方案专门适配AJAX/JS加载的场景，安全性和实用性都很强。

如果你的服务器是Apache，可以通过.htaccess文件直接限制test.php的访问，只允许从index.php跳转过来：
在项目根目录的.htaccess里添加：

<Files "test.php">
    Order Deny,Allow
    Deny from all
    # 只允许来源是index.php的请求
    SetEnvIf Referer "^https?://(.*)/index.php$" allow_test_access
    Allow from env=allow_test_access
</Files>

⚠️ 同样，这个方法依赖Referer头，有和方案2一样的局限性，而且Nginx服务器的配置语法不一样，需要单独调整。

总结一下，优先选方案1或者方案3，这两个可靠性最高，能完美满足你"只能通过index.php访问test.php"的需求。

内容的提问来源于stack exchange，提问作者David Stančík