WEBサーバーの公開領域内のディレクトリが775でも外部から見られない理由

Question

ふと気になったので質問させていただきます。

nginx等のwebサーバーを使用して外部に何かを公開する際に、公開領域を指定すると思います。

例えば
railsでhoge_appディレクトリにアプリケーションを作成した。
nginxの公開領域をhoge_appディレクトリに設定する。

のように。
この時hoge_appディレクトリのパーミッションは775となっているので、その他のユーザー即ちユーザーnginxさんもこのhoge_appを見る事ができる事になっています。

だから外部からリクエストがあったときにnginxが中身をいい感じに配信できると思っています。
でもよくよく考えたらrailsアプリの中身のrubyのコードは見る事ができません。（contlollerの内容等）
controllerのパーミッションも775です。

質問1:なぜ公開されているにも関わらず外から見る事ができないのでしょうか？

APPサーバーはunicornを使っているのですが、nginxがファイルの内容を配信する前に必ずAPPサーバーを通るから、そのAPPサーバーがこれは外部に出してはダメなファイルだ！と判定しているのでしょうか？
質問2:この見識は正しいのでしょうか？
質問2-0：もし正しいとしたら、どんな観点で外部へ公開しては“ダメ”の判定を行っているのでしょうか？

外部へ公開している仕組みを知らないとハッキング出来てしまう環境を作ってしまいそうで怖くなり質問させていただきました。

Answer 1

Railsの場合、nginxのドキュメントルートとしてpublic/以下を指定しますが、この中には（見れば分かる通り）そもそもRubyのコードは入っていません。Railsとしてのコード実行は、ファイルを経由せず直接nginxからunicornに流されます。

ということで、質問に即して回答すれば、

• 質問1…公開ディレクトリの外側にあるから
• 質問2…間違い（そもそもRubyコードはnginxの配信対象ではない）

---

Railsの場合はドキュメントルート外のコードをアプリケーションサーバで実行する構成になるのでファイルのまま配信されてしまう心配はないのですが、PHPの場合はApacheに組み込むのが一般的だったからか、ドキュメントルート内にコードを置くケースが多いこともあって、WordPressもデフォルトでは設定ファイルすらドキュメントルートの中に置かれてしまいます。

Comments

[domidomi]

大変ありがとうございます、ドキュメントルートにアプリディレクトリを設定しまうという大変恐ろしい事をやってしまっていました・・・おそろしい・・・

お時間があるときで構わないのですが、二つほどお聞きしたいです。
１：railsの配信の仕組みについて以下の流れは正しいでしょうか？
「誰か：リクエストします」⇒「nginx：これはドキュメントルートの内部を参照するリクエストじゃない！unicornさんにおくるやつや！unicornさん頼みます」⇒「unicorn：そのリクエストの内容から俺が捏ね繰り回してアウトプット作ったで！ほれnginxあとは頼んだ」⇒「nginx：ありがとう！このアウトプットを受け取ってくれ誰かさん」⇒「誰か：あぁ来た」

２：ｐｈｐのケースでは中身が全部外から丸見えということなのでしょうか？それは大丈夫なのですか？

[maisumakun]

PHPでエントリポイント以外のコードの場合は、コードの側で「関数や変数を宣言するだけ（なので間違えてそこにアクセスしても何も出力されない）」「用意されているはずの定数を確認して、なければその場で終了」のような書き方をすることで、直接アクセスされても何も見えないようにしてあります。

もっとも、何かの手違いでPHPが実行されない環境になるとコードはそのまま見えますので、（エントリポイントとなるindex.phpのようなものは別として）コードをドキュメントルート外に出したほうがいいのは言うまでもありません。

[domidomi]

という事はrailsのアプリフォルダがnginxのルートパスに設定されてしまっていても、rubyが必ず起動しているはずだからコードが実行される恐れはあってもコードが読まれる心配はないという事でしょうか？

[maisumakun]

いえ、PHPはもともとHTMLに混ぜることが前提なので特殊な挙動です。Rubyの場合はそのまま見えます。

[domidomi]

なるほどです、とても納得しました。
お時間頂きありがとうございました。