将记录存放在配置.htaccess规则的受保护目录中是否安全？

结论先行：仅靠deny from all规则保护敏感txt文件，不能100%杜绝泄露风险 #

首先你要先确认你的服务器环境：deny from all是Apache 2.2版本的原生访问控制规则，如果你用的是Apache 2.4及以上版本，该规则默认不会生效，需要替换为Require all denied规则才能实现禁止所有HTTP访问的效果。

就算规则配置正确、确实已经禁止了直接HTTP路径访问，仍然存在以下常见的信息泄露途径：

• 同主机的程序漏洞绕过：如果你的服务器上还运行了其他Web应用（比如自建的博客、商城系统等），一旦应用存在目录遍历漏洞，黑客可以通过应用的逻辑绕过Web服务器的访问控制规则，直接读取该目录下的所有文件内容
• 服务器配置变动/错误：如果后续调整虚拟主机配置、更新规则、迁移服务器时不小心遗漏了该目录的访问控制规则，或者父目录开启了目录索引功能，都会直接导致文件暴露
• 共享主机权限问题：如果你用的是多租户共享主机，同一物理机上的其他租户的进程如果存在权限配置不当的情况，也有可能跨用户读取到你的目录文件
• 人为操作失误：比如备份时不小心把该目录的文件打包存到了Web公开路径、FTP同步时误把该目录同步到了可访问目录，都会直接泄露内容

更安全的优化方案 #

• 优先把这类敏感文件放到Web根目录以外的路径存储，Web服务器默认不会对外提供根目录外文件的访问能力，即使后续访问控制规则配置出错，也不会直接暴露文件
• 如果必须存放在Web目录内，额外对txt文件的内容做对称加密存储，不要直接保存明文的敏感信息
• 定期校验目录的访问权限，确认访问控制规则持续生效

内容的提问来源于stack exchange，提问作者Thomas Nicholson