PHP セキュリティ対策 サーバーの公開領域と非公開領域

Question

phpでサーバーに接続する練習をしています。
サーバーの公開領域と非公開領域の区別がわからないので、
教えていただきたいです。
参考書には、
「PDO接続などで用いるホスト名やパスワードなどの重要なデータは、
サーバー上の公開されない場所（公開フォルダより上の階層）
に分けておく必要がある」と、書かれています。

下はエックスサーバのディレクトリです。

Q1.これでいうとpublic_html以外は非公開領域という認識で良いでしょうか。（こちらの記事も一読しました）
Q2.サーバー接続情報ファイルなどは、この階層にdataフォルダ等を自分で作って、その中に入れておく
このような解釈で良いでしょうか。

一般的な方法などがあれば、教えていただきたいです。

Answer 1

Q1.これでいうとpublic_html以外は非公開領域という認識で良いでしょうか。（こちらの記事も一読しました）

ドキュメントルートがpublic_htmlであれば、その認識で正しいです。

Q2.サーバー接続情報ファイルなどは、この階層にdataフォルダ等を自分で作って、その中に入れておく

ケースバイケースです。
そもそもそういった情報をファイルとして持たず、環境変数を使用するケースも多いです。

Answer 2

Q1.これでいうとpublic_html以外は非公開領域という認識で良いでしょうか。（こちらの記事も一読しました）

と、書いてありますね。記事に。
エックスサーバー ○ 「ドメイン名/public_html」以外のディレクトリ

言い方を変えれば「ブラウザから参照できない場所」です。
アクセスできるかどうか試すのは・・・例えばURLにhttp://example.com/../logなど入れてアクセスしてみてください。

Q2.サーバー接続情報ファイルなどは、この階層にdataフォルダ等を自分で作って、その中に入れておく

このような解釈で良いでしょうか。

サーバーが許可していれば作るのも良いでしょうし、許可していないのであれば既に存在しているディレクトリを利用するしかありません。

フレームワークを利用しているのであれば指定のやり方があるのでそれに倣う必要があります。
※もしpublic_htmlと同階層にディレクトリ作れる権限がないのでしたらドキュメントルートを調整する必要があるケースもあります。

自分で作るのであればそれこそ「ご自由に」です。

Comments

[Masa-Y]

よくわかりました、ありがとうございました。

[m.ts10806]

理解につながったようで何よりです。
何事も「試してみること」ですね。今回も質問前に試せることはたくさんあると思います。

Answer 3

Q1はその認識でいいでしょう
試すにはテストディレクトリを作って試してみるといいでしょう。
例えばtest_html をpublic_htmlと同じ階層に作成しpublic_htmlと同じ権限に変更します。

test_htmlの中に適当な画像(test.jpg)を置き、public_htmlの中に <img src="../test_html/test.jpg" /> と書いたtest.htmlファイルを作成します。
エックスサーバでtest.htmlにアクセスして画像に失敗すればpublic_htmlがドキュメントルートになっていると考えていいでしょう。

Q2は別な回答者の通りケースバイケースです。
PHPであれば公開ディレクトリでも一般的にはソースのDLはできないので他者に露見しません。
しかし質問の通り、非公開エリア等に設定ファイルを置きPHP等で読み込むほうがリスク軽減となるでしょう。

Comments

[Masa-Y]

よくわかりました、ありがとうございました。

[Masa-Y]

実験してみましたらやはり public_html と同階層の test.html にはアクセスできませんでしたので、public_htmlがドキュメントルートということがわかりました。
またrequire_onceで非公開領域からの情報を取得する事もできました。
うまく活用してリスク対策していこうと思います。
ありがとうございました。

[退会済みユーザー]

> エックスサーバでtest.htmlにアクセスして画像に失敗すればpublic_htmlがドキュメントルートになっていると考えていいでしょう。

これはドキュメントルートの確認方法として適切ではありません。
質問者も誤った確認方法をしてしまっているので、修正してあげて下さい。