2

Me gustaría evitar el acceso directo a archivos .php usando el archivo .htaccess. Conozco otras medidas como sacar los archivos de la carpeta pública o usar código en cada archivo, pero para mí esta es la más cómoda.

Con evitar el acceso a archivos .php me refiero a acceder a cualquier URL usando .php al final de la URL, ya que el resto de URLs son dinámicas (No tienen .php al final) En pocas palabras, permitir el acceso a URLs como ejemplo.com/login pero no a ejemplo.com/functions.php

Esto es lo que he intentado, pero no me funciona:

# Prevenir acceso a archivos php
<FilesMatch "\.(php)$">
    Require all denied
<FilesMatch>

Error:

Internal Server Error The server encountered an internal error or misconfiguration and was unable to complete your request.

5
  • Hola, intenta cambiandolo por Deny from all Commented el 23 oct. 2020 a las 13:12
  • @JuanRivera Nop, tampoco funciona Commented el 23 oct. 2020 a las 14:08
  • Esto debería bloquear el acceso a todos los archivos .php: 1<Files ~ "\.php$"> 2Order allow,deny 3Deny from all 4</Files> He numerado las filas para que sepas dónde van, acuérdate de eliminar los números para que funcione
    – Benito-B
    Commented el 10 nov. 2020 a las 13:17
  • Parece que el código funciona, pero al parecer no me deja redirigir todo el tráfico al index.php (lo hago desde el .htaccess) y me pone You don't have permission to access /index.php on this server. El index.php es donde la web comprueba la URL y carga la página solicitada. Tal vez lo que estoy intentado hacer sea imposible... Commented el 10 nov. 2020 a las 13:30
  • 1
    No es que redirija, lo que hago es cargar el archivo index.php en todas las solicitudes ya que desde el controlo las rutas dinámicas, es decir, si el usuario entra en ejemplo.com/user/12, evidentemente debe haber detrás un sistema de rutas y para lograrlo, desde el .htaccess cargo index.php sea cual sea la ruta. Lo que quiero es que no se pueda acceder de forma directa al resto de archivos, como ejemplo.com/functions.php, pero que yo sí pueda importar y usar este archivo. Commented el 10 nov. 2020 a las 18:15

3 respuestas 3

1
+50

Si únicamente te interesa bloquear el acceso desde afuera a todos los archivos .php excepto al index.php se puede usar %{THE_REQUEST}, ya que es la solicitud original, que se mantiene incluso luego de redirecciones.

RewriteEngine On

RewriteCond %{THE_REQUEST} "^.+? [^?]+\.php(?:[?/# ]|$)" [NC]
RewriteRule !^index\.php$ - [F,L,NC]

La condición es para cualquier THE_REQUEST que el que la url termine .php, y la regla se aplica a cualquier url que no coincida con index.php. El flag [F] hace que no permita el acceso (HTTP 403).

0

Una estrategia muy efectiva que hacen algunos aplicativos, es que en cada carpeta crean un index.html en blanco, asi te evitas que te escaneen el directorio completo.

Ahora si quieres eliminar la extensión de .php de tus páginas, prueba con el siguiente script en el htaccess

RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^([^\.]+)$ $1.php [NC,L]

Espero que esto te sirva y haya podido responder tu pregunta. Saludos!

1
  • 1
    Por lo que entendí de la pregunta, no quiere poder acceder a un PHP usando el mismo nombre sin la extensión, sino bloquear el acceso a cualquier archivo PHP
    – Pollo
    Commented el 11 nov. 2020 a las 23:16
0

Puedes incluir lo siguiente en tu .htaccess:

<FilesMatch "\.php$">
       Order Allow,Deny
       Deny from all
</FilesMatch>
<FilesMatch "index[0-9]?\.php$">
       Order Allow,Deny
       Allow from all
</FilesMatch>

Esto permitirá acceder a cualquier archivo como index.php, index2.php, etc., pero rechazará el acceso de cualquier tipo a otros archivos .php. No afectará a otros tipos de archivos.

Referencia: https://stackoverrun.com/es/q/250197

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.