Laravel 5+安全需求：如何隐藏URL地址栏中的文件夹目录

Hey there! 针对你想在Laravel 5+里隐藏URL中的文件夹目录（大概率是指默认的public目录，毕竟这是Laravel的Web入口根目录），我给你整理了几种生产环境常用的靠谱方案：

方法一：配置服务器（推荐，最标准的做法） #

这是官方推荐的部署方式，直接把Web根目录指向Laravel的public文件夹，从根源上避免URL出现public路径。

针对Apache服务器 #

1. 确保服务器已经启用了mod_rewrite模块（大部分主机默认开启，如果没开需要联系主机商或自己在Apache配置里开启）
2. 修改虚拟主机配置，将DocumentRoot设置为你的Laravel项目的public目录路径：

   DocumentRoot "/path/to/your/laravel-project/public"
   <Directory "/path/to/your/laravel-project/public">
       AllowOverride All
       Require all granted
   </Directory>
   

3. 检查public目录下的.htaccess文件，Laravel默认已经自带了正确的重写规则，如果文件丢失，可以手动创建：

   <IfModule mod_rewrite.c>
       <IfModule mod_negotiation.c>
           Options -MultiViews -Indexes
       </IfModule>
   
       RewriteEngine On
   
       # 处理授权头
       RewriteCond %{HTTP:Authorization} .
       RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
   
       # 移除末尾斜杠（如果不是文件夹）
       RewriteCond %{REQUEST_FILENAME} !-d
       RewriteCond %{REQUEST_URI} (.+)/$
       RewriteRule ^ %1 [L,R=301]
   
       # 将所有请求转发到index.php
       RewriteCond %{REQUEST_FILENAME} !-d
       RewriteCond %{REQUEST_FILENAME} !-f
       RewriteRule ^ index.php [L]
   </IfModule>
   

针对Nginx服务器 #

修改你的Nginx站点配置文件，将root指向Laravel的public目录，并添加正确的重写规则：

server {
    listen 80;
    server_name your-domain.com; # 替换成你的域名
    root /path/to/your/laravel-project/public; # 替换成实际路径

    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";

    index index.php;

    charset utf-8;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    # 忽略静态文件的日志
    location = /favicon.ico { access_log off; log_not_found off; }
    location = /robots.txt  { access_log off; log_not_found off; }

    # 将404请求转发到index.php（适配Laravel路由）
    error_page 404 /index.php;

    # 处理PHP请求
    location ~ \.php$ {
        fastcgi_pass unix:/var/run/php/php8.2-fpm.sock; # 根据你的PHP版本调整路径
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
        include fastcgi_params;
    }

    # 禁止访问隐藏目录（除了well-known）
    location ~ /\.(?!well-known).* {
        deny all;
    }
}

配置完成后重启Nginx服务即可生效。

方法二：调整文件结构（适合无法修改服务器配置的场景） #

如果是共享主机，没办法修改Web根目录设置，可以通过调整文件结构来隐藏public路径：

1. 在你的网站根目录下创建一个新文件夹（比如laravel-core），把Laravel项目根目录下的所有文件/文件夹（除了public）都移到这个laravel-core里
2. 把public目录下的所有文件/文件夹直接移到网站的根目录（也就是原来public的上层目录）
3. 修改根目录下的index.php文件，更新引入文件的路径：

   // 原来的路径是 require __DIR__.'/../vendor/autoload.php';
   require __DIR__.'/laravel-core/vendor/autoload.php';
   
   // 原来的路径是 $app = require_once __DIR__.'/../bootstrap/app.php';
   $app = require_once __DIR__.'/laravel-core/bootstrap/app.php';
   

4. 重要安全提醒：确保laravel-core目录的权限设置正确，禁止通过URL直接访问这个目录（可以在根目录的.htaccess里添加规则限制），避免敏感文件（比如.env）被暴露。

关键安全注意事项 #

• 无论用哪种方法，绝对不要把.env配置文件、vendor目录、storage目录暴露在Web可访问的路径下，这些文件包含数据库密码等敏感信息，一旦泄露会导致严重安全问题。
• 确保服务器的文件权限设置正确：storage和bootstrap/cache目录需要可写，但不要设置成全局可写（推荐755目录权限，644文件权限）。

内容的提问来源于stack exchange，提问作者raf