php.confの設定

Question

apahceのerrorログで、下記エラーがありました。
" POST /.php HTTP/1.1 " 403 412 " - "
ファイル名のない.phpというURIを直接指定してリクエストがあり、403を返しています。リファラーなし。

phpのconfファイルを確認したところ下記のような設定に

<FilesMatch ".+.ph(ar|p|tml)$">
    SetHandler application/x-httpd-php
</FilesMatch>
<FilesMatch ".+.phps$">
    SetHandler application/x-httpd-php-source
    # Deny access to raw php sources by default
    # To re-enable it's recommended to enable access to the files
    # only in specific virtual host or directory
    Require all denied
</FilesMatch>
# Deny access to files without filename (e.g. '.php')
<FilesMatch "^.ph(ar|p|ps|tml)$">
    Require all denied
</FilesMatch>

# Running PHP scripts in user directories is disabled by default
#
# To re-enable PHP in user directories comment the following lines
# (from <IfModule ...> to </IfModule>.) Do NOT set it to On as it
# prevents .htaccess files from disabling it.
<IfModule mod_userdir.c>
    <Directory /home/*/public_html>
        php_admin_flag engine Off
    </Directory>
</IfModule>

<FilesMatch "^.ph(ar|p|ps|tml)$">
この行に引っかかっていると思うのですが、ファイル名のない.phpに対してのリクエストは
拒否すべきなのでしょうか？

Answer 1

「.htaccess」とか「.htpasswd」とか「.htaccess」とか、ドットから始まるファイルは、サーバの外へは見せない隠しファイル的な意味合いがあるので、そのルールに則ると.phpは外から直接アクセスできない方がいいということじゃないでしょうか？

Comments

[haduki08]

返答が遅くなりすいません。
直接アクセスできないにしても、403で返さなくても良い気がするので
301でTOPにリダイレクトさせることにしました！

Answer 2

何故でしょうね…。
「ドットで始まる拡張子のないファイル」と区別するためかなぁ…。
私も知りたいです。

ちなみに、私のところのphp7にはその設定は入っていなくて、こうなっていました。

    <FilesMatch .php$>
        SetHandler application/x-httpd-php
    </FilesMatch>

なので.phpっていうファイルを作ってリクエストしたらちゃんと応答できました。

回答じゃなくってすみません。

Comments

[CHERRY]

よこからですが...

この例は、` <FilesMatch .php$> ` なので、「 .php 」で終わるファイルが対象ですね。 `.` の前は、チェックしていないので　あってもなくても OK ですね。

[taka-saan]

CHERRYさん、こんにちは。
はい、疑問なのは「なぜ（質問者さんの環境では）`.php`だけのファイルを禁止する設定を推奨しているのか。」
というところを話題にしております。
私もcollingさんの解釈に1票なのですが、真の理由があれば知りたい（セキュリティ的なものだと想像しています）です。

[haduki08]

返答が遅くなり申し訳ありません。
デフォルト設定だったのか、誰かが設定したのか謎なので
拒否をしないで返すことにしました。
ご回答ありがとうございました！！