不带.htaccess的安全目录密码保护

您可以做的一件事是将所有“秘密”文件保存在服务器Webroot之外的目录中。所有对这些文件的访问都可以通过目录中的一个PHP脚本进行路由。像这样:

http://www.example.com/protected-directory/access.php?file=/foo/document.doc

目录结构如下:

+--+ /server_root
   |
   +--+ /web_root
   |  |
   |  +--+ /protected-directory
   |     +-- access.php
   |     +-- access-denied.html
   |
   +--+ /protected_root
      |
      +--+ /foo
         +-- document.doc

在你 access.php 您可以这样做:

$file = $_REQUEST['file'];
if ($user->hasAccessTo($file)) {
    readfile("/server_root/protected_root/$file");
} else {
    readfile('access-denied.html');
}

现在,你必须小心,确保没有人用你的 file -参数并传递类似 "../../../etc/passwd" .另外,您可能希望确保在上面的示例中发送正确的头,出于清晰的原因,我省略了这一点。

您可以使用authuserfile的绝对路径,并安排将该文件放在Web服务器无法访问的位置。我已经做了很多年了。工作正常。