Las formas más seguras de evitar que ejecuten tus scripts PHP de forma directa son:
Alojándolos fuera de la raíz del sitio web (document root)
Tu sitio web debería tener una estructura similar a ésta:
/var/html/
├── html_publico/
│ ├── imagenes/
│ ├── css/
│ └── index.php
└── aplicacion/
├── script_php1.php
└── script_php2.php
Es la práctica más recomendada y es la que usan la mayoría de frameworks (Slim, Symfony, etc).
Puedes ver un ejemplo en la documentación de Slim y otro en la documentación de Symfony.
Usando definición de variables
Cuando la solución anterior no se puede usar (nuestro alojamiento no nos permite acceder a un nivel superior de nuestro sitio web) podemos adoptar esta solución alternativa, aunque es menos recomendable y puede llevar a error por olvidar la comprobación en algún archivo.
Si un script PHP puede ser accedido directamente en su primera línea se define una constante usando define()
:
define('ACCESO_PERMITIDO', true);
Si no se permite el acceso directo a él lo que se hace es comprobar que haya sido definida la constante a través de un script permitido haciendo uso de defined()
:
if (defined('ACCESO_PERMITIDO') === false) {
header('HTTP/1.0 403 Forbidden');
exit();
}
Denegando el acceso en el servidor HTTP
Otra alternativa que podríamos usar es configurar el servidor web para rechazar el acceso a un directorio donde almacenemos los scripts PHP protegidos.
Es una práctica desaconsejada porque al migrar de un servidor a otro podría cambiar algún parámetro (como el AllowOverride
de Apache) que permitiera el acceso a los archivos que pensábamos que estaban protegidos.
En Apache se hace uso de los controles de acceso en un bloque <Directory>
o un archivo .htaccess
.
Si usamos la solución del archivo .htaccess
nuestra estructura de directorios podría ser la siguiente:
/var/html/
├── scripts/
│ ├── .htaccess
│ ├── script_php1.php
│ └── script_php2.php
├── imagenes/
├── css/
└── index.php
Un contenido de .htaccess
que impediría el acceso directo a cualquier archivo de su interior sería:
Order Deny,Allow
Deny from All
Debemos recordar que para usar un archivo .htaccess
la directiva AllowOverride
debería permitir el uso de su contenido mediante la directiva Limit
en la configuración del sitio web:
<Directory /var/html/scripts>
AllowOverride Limit
</Directory>
Ya que estamos en el uso del bloque <Directory>
en la configuración del sitio web ésta podría ser, sin necesitar .htaccess
ni permitir Limit
con AllowOverride
:
<Directory /var/html/scripts>
Order Deny,Allow
Deny from All
</Directory>
Y en un servidor NGINX se configuraría el sitio web de la siguiente manera (usando rutas relativas de la URL, no rutas de directorios locales):
location /scripts {
deny all;
return 403;
}