如何防止用户通过路径直接访问PHP后台权限文件？

这是业内优先级最高的方案，从根源上杜绝文件被直接访问的可能：

• 把所有后台管理文件从Web根目录（比如你站点的/forum目录）移到Web根目录之外的路径，例如Web根目录是/www/forum，就把后台文件存到/www/admin_private路径下，这个路径浏览器无法直接访问
• 在Web根目录下只保留一个后台入口文件，例如/forum/admin.php，文件内先做$_SESSION权限校验，校验通过后再根据请求参数引入对应/www/admin_private下的功能文件，示例代码：

<?php
session_start();
// 校验管理员权限
if (!isset($_SESSION['is_admin']) || $_SESSION['is_admin'] !== true) {
    http_response_code(403);
    exit('无访问权限');
}
// 加载对应后台功能
$action = $_GET['action'] ?? 'dashboard';
$allowed_actions = ['user_list', 'delete_user', 'settings'];
if (in_array($action, $allowed_actions)) {
    require_once "/www/admin_private/{$action}.php";
}

• 管理员只需要访问/forum/admin.php?action=xxx即可使用后台功能，不存在被猜解文件名直接访问的风险

如果你不想调整现有文件结构，用这个方案可以快速给所有后台文件加权限控制，不需要每个文件写重复逻辑：

• 单独写一个权限校验文件auth.php，存到后台文件目录下，内容就是统一的SESSION校验逻辑：

<?php
session_start();
if (!isset($_SESSION['is_admin']) || $_SESSION['is_admin'] !== true) {
    http_response_code(403);
    exit('无访问权限');
}

• 每个后台PHP文件的第一行加一行代码引入这个文件即可：<?php require_once __DIR__ . '/auth.php'; ?>
• 如果后台文件数量多，用编辑器的批量替换功能，一秒就可以给所有文件加上这行代码，改造成本极低

如果你完全不想修改现有PHP代码，可以直接在Nginx/Apache层面加访问规则，限制受限目录的访问：

Nginx配置示例 #

假设你把所有受限文件放到/forum/restricted目录下，在Nginx站点配置里加以下规则：

location ^~ /restricted/ {
    # 方案A：固定IP白名单，仅允许管理员IP访问
    allow 192.168.1.100; # 替换为管理员实际IP
    deny all;

    # 方案B：auth_request动态校验，所有请求先过权限校验接口
    # auth_request /check_admin_auth.php;
    # auth_request_set $auth_status $upstream_status;
    # if ($auth_status = 403) {
    #     return 403;
    # }
}

如果用方案B，只需要额外写一个check_admin_auth.php文件做SESSION校验，返回200或者403即可，不需要修改任何原有后台代码。

Apache配置示例 #

在restricted目录下新建.htaccess文件，写入以下规则：

# IP白名单限制
Order Deny,Allow
Deny from all
Allow from 192.168.1.100

配合Web服务器重写规则，隐藏后台的真实路径，避免用户猜解：

• Nginx配置示例：

rewrite ^/manage/(.*)$ /restricted/$1.php last;
location ^~ /restricted/ {
    # 禁止直接访问真实路径
    deny all;
}

• 配置后管理员可以通过/manage/user_list访问后台功能，用户完全猜不到真实的文件路径是/restricted/user_list.php，同时也杜绝了直接访问真实路径的可能

内容的提问来源于stack exchange，提问作者user13116343