如何禁止用户调用其他PHP文件？表单提交安全防护咨询

嘿，作为刚入门Web开发的新手，能注意到这个安全细节真的很赞！毕竟浏览器端的HTML、JS这些都是完全暴露给用户的，修改action属性简直是小菜一碟——所以咱们的核心思路从来都不是“阻止用户改前端”，而是从后端筑牢安全防线，彻底规避风险。下面给你几个实用的方案，一步步解决你的问题：

1. 永远验证请求合法性：CSRF令牌是标配 #

用户可以随便改action，但咱们可以给每个合法请求加个“专属通行证”——CSRF令牌。简单来说就是在服务器端生成一个随机令牌存在Session里，前端表单用隐藏域带上这个令牌，后端接收请求时对比令牌是否一致，不一致直接拒绝。

前端表单代码：

<form method="POST" action="process_form.php">
  <!-- 其他表单字段 -->
  <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
  <button type="submit">提交</button>
</form>

后端验证代码（process_form.php）：

session_start();
// 检查令牌是否存在且匹配
if (!isset($_POST['csrf_token']) || $_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    header("HTTP/1.1 403 Forbidden");
    die("非法请求，请不要随意篡改表单");
}
// 验证后生成新令牌，防止重复使用
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));

// 后续处理表单逻辑...

2. 限制请求方法，拒绝非法访问 #

表单提交一般用POST方法，所以直接在后端脚本开头判断请求方法，不是POST就直接拒绝——这样用户就算改了action，直接用URL GET访问脚本也没用。

代码示例：

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header("HTTP/1.1 405 Method Not Allowed");
    exit("仅允许通过表单POST请求访问");
}

3. 给PHP脚本加“访问白名单”，禁止直接调用 #

如果你的项目里有多个PHP文件，不想让用户直接访问某个处理脚本（比如process_form.php），可以用常量验证的方式：只有从合法入口调用时，脚本才会执行。

比如在你的主页面（比如index.php）里定义一个专属常量：

// index.php
define('ALLOW_SCRIPT_ACCESS', true);
// 在这里调用处理脚本
include 'process_form.php';

然后在process_form.php开头加上验证：

// process_form.php
if (!defined('ALLOW_SCRIPT_ACCESS')) {
    header("HTTP/1.1 403 Forbidden");
    exit("禁止直接访问该脚本");
}

// 后续处理逻辑...

这样用户直接在浏览器输入process_form.php的URL时，就会被拒绝访问。

4. 用单一入口架构，彻底隔离业务脚本 #

更专业的做法是采用单一入口：所有请求都通过index.php进入，业务逻辑脚本放在Web根目录之外（比如/app/文件夹），用户根本没法直接访问这些脚本。然后通过路由来分发请求到对应的处理逻辑。

举个简单的路由示例：

// index.php（Web根目录唯一入口）
session_start();
$action = $_GET['action'] ?? '';

switch ($action) {
    case 'submit_form':
        // 引入Web根目录外的处理脚本
        include '../app/process_form.php';
        break;
    default:
        header("HTTP/1.1 404 Not Found");
        exit("页面不存在");
}

同时可以配置服务器（比如Nginx），只允许访问index.php，其他PHP文件直接返回403：

location / {
    try_files $uri $uri/ /index.php?$query_string;
}
location ~ \.php$ {
    if ($request_uri !~ ^/index.php) {
        return 403;
    }
    fastcgi_pass unix:/run/php/php7.4-fpm.sock;
    fastcgi_index index.php;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}

5. 不要忘记数据校验！ #

最后，不管前端有没有做校验，后端必须对所有提交的数据重新验证格式、长度、合法性——比如邮箱格式是否正确、输入内容是否符合预期，防止恶意数据注入。

代码示例：

$email = $_POST['email'] ?? '';
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    die("请输入正确的邮箱格式");
}

$username = $_POST['username'] ?? '';
if (strlen($username) < 3 || strlen($username) > 20) {
    die("用户名长度必须在3-20位之间");
}

总结一下：前端的所有限制都是给“好人”用的，恶意用户可以轻松绕过，所以所有安全逻辑必须放在后端。上面的方案组合起来，就能有效防止PHP脚本被随意调用，保障你的系统安全。

内容的提问来源于stack exchange，提问作者Theo Stefou