Chicken&Egg:如果.htaccess需要链接到public_html,如何将PHP排除在外?

我正在努力养成良好的安全习惯,所以我想将敏感的PHP文件移到public_html目录之外。我的设置是LAMP(Apache 2.4,PHP 5.5),具有以下目录结构:

• /home/username/public_html
• /home/username/src

敏感文件位于 /src 。我以前的设置在 /home/username/public_html/src 我有一些.htaccess规则指导用户,比如

RewriteRule ^myaccount$ src/account.php

现在脚本已经脱离了public_html,我不知道如何从htaccess重定向它(htaccess中的所有路径都是相对于 /home/username/public_html )

我读到了 Alias 来自的指令 Apache docs 这将允许我设置一个指令,例如 Alias /src /home/username/src 但这在 .htaccess 我宁愿不改变 httpd[-vhosts].conf 除非这是解决我问题的最好方法。

溶液 credit:@Idealcastle(下图)启发了一个解决方案,允许我将敏感文件从 public_html 同时仍然允许htaccess链接到它们。

我将.htaccess指令从 ^myaccount$ /src/account.php 到 ^myaccount$ redirect.php?file=account.php 。然后我创建了一个网关脚本,其中包含我试图保护的脚本文件。 redirect.php 位于public_html文件夹中,内容如下:

<?php
if (empty($_GET['file'])):
    //the file argument is missing
    http_response_code(400); //bad request
    exit;
else:        
    $file = rawurlencode($_GET['file']);
    $path = "/home/username/src/$file";
    //Check the file against a whitelist of approved files. if it's not
    //on the list, exit with http_response_code(403): Access Forbidden

    //seek the file from its private location
    require $path;
endif;

此代码将根据 file 参数设置在 .htaccess