如何防止PHP文件通过直接输入页面URL执行？含具体场景问询

好问题！这是PHP开发中非常普遍的安全需求，我来给你一步步解决你的问题，再分享通用的防护方案：

针对你的具体场景（def.php被abc.php包含） #

最简单直接的方法是通过定义验证常量来限制访问：

1. 首先在你的主文件abc.php开头添加一个自定义常量：

<?php
// 定义一个仅合法包含时才会存在的常量
define('ALLOW_DIRECT_INCLUDE', true);

include "def.php";
echo "something";
?>

2. 然后在def.php的最顶部加入检查逻辑，如果常量未定义则直接终止执行：

<?php
// 检查是否来自合法的包含请求
if (!defined('ALLOW_DIRECT_INCLUDE')) {
    // 可以直接提示禁止访问，或者跳转到首页
    die('Direct access to this file is not allowed.');
    // 或者用跳转：header('Location: /'); exit;
}

// 这里放def.php原来的代码内容
?>

当用户直接访问www.xyz.com/def.php时，这个常量不会被定义，代码会直接终止，避免文件内容被执行；而当abc.php包含它时，常量已经存在，就能正常运行。

通用的防止PHP文件直接访问的方法 #

除了上面的常量验证，还有几种更通用、更安全的方案：

• 将包含文件放在Web根目录之外
  这是最安全的做法之一。比如你的网站Web根目录是public_html（或者www），把所有被包含的文件（比如def.php）放到根目录外的文件夹（比如../includes/），然后在主文件中用绝对路径包含：

  include $_SERVER['DOCUMENT_ROOT'] . '/../includes/def.php';
  

  这样用户根本无法通过URL访问到这些文件，因为它们不在Web服务器的可访问范围内。

• 利用服务器配置限制访问
  如果是Apache服务器，可以在存放包含文件的目录下创建.htaccess文件，写入以下内容：

  Order Deny,Allow
  Deny from all
  

  这会拒绝所有对该目录下文件的直接访问请求。

  如果是Nginx服务器，在站点配置中添加规则：

  location ~ /includes/ {
      deny all;
      return 403;
  }
  

• 使用特殊后缀并禁用执行
  给被包含的文件命名为def.inc.php，然后配置Web服务器不执行.inc.php后缀的文件。不过这种方法不如前两种可靠，因为如果服务器配置出错，仍然存在被执行的风险，建议作为辅助手段。

总结 #

最优的防护策略是结合“将文件放在Web根外”和“常量验证”，双重保障，既从物理层面避免文件暴露，又在代码层面做最后一道防线。

内容的提问来源于stack exchange，提问作者StephenKhoa