Q&A
お風呂に栓をした場合、水は下水に流れますか?
それと同じこと
サーバーにHPをアップロードしてブラウザからのファイル読み込みを制限したいと考えています。
とりあえず、「deny from all」と書いた.htaccessを片っ端からデイレクトリに入れてみて挙動を見たのですが、phpはブラウザアクセスできなくて成功。しかしながらcssとjsはブラウザアクセスできないのは良いとして、全く機能しなくなってしまいました。ここはブラウザ拒否にすべきではないものなのでしょうか？
栓をしたということですね。phpだけが動くのは何故なのでしょうか？
PHPは動作しないはずなのですが、動作しているのでしょうか？
> phpだけが動くのは何故
あまり関係なさそうなのでこちらに書きますが、
.htaccessの適用範囲って配下のディレクトリも含んだような？
もう少しディレクトリ構成など簡単で良いのでご提示いただけませんか？
それが不思議で質問してみました。動かないはずな理由を調べてみます！
それに「PHPはブラウザアクセスできなくて」とありますが「PHPだけが動くのは何故なのでしょうか？」というのは現象が矛盾しているように思いますが
PHPファイルはブラウザに表示させるものではなく関数処理だけを書いたものです。やっぱりこのような場合でも動くはずない感じでしょうか？
phpだけが動く?
> phpはブラウザアクセスできなくて成功
動いてないよね? アクセスできなくて成功といってるから
回答2件
0
ベストアンサー
目的や前提がわかりませんが、ブラウザからアクセスできたとしてPHPは出力処理があればその出力処理部分しかブラウザからは見れません。
当然PHPのコードを見るのは不可能です。
ただフレームワークなどは「直接実行されないファイル」をブラウザからアクセスできないディレクトリに置くようになっており、ドキュメントルート配下のPHPはindex.phpだけというのもよくあります。
teratailもPHPフレームワークで作られているようなので、作りはおおよそ同じようなものと思われますが、これは.htaccessによって「すべてのアクセスをindex.phpに集める」という指定がされているためです。
で、取得したURIを解析して振り分けています。
ただ、CSS、JavaScript、画像などはPHPプログラムから直接参照するわけではなく、PHPが出力したHTMLコードから呼び出すように記述されていて、ブラウザ側がそれを解釈するようになっているため、ブラウザからアクセスできるようになっています。（あくまでフロントサイドなので）
そのため、.htaccessにて、アクセスはindex.phpに集める、ただしcss/* ,js/* ,images/* は除くといった指定が書かれることがあります。
どのような理由や背景、前提で今回の対応をしようと思い立ったのかはわかりませんが、参考まで。
投稿2019/06/12 14:18
総合スコア80850
なるほど、なんとなく理解してきました！ 今回はまた勉強のためにやっていることなんですが、例えばPDOなどを書くときにサーバーの情報を別ファイルに分けて書くようなことがあるみたいです。そのパスワードとかデーターベースの情報が見られるようなことがあってはまずいのかなと思い調べていました。調べているうちに.htaccessにたどり着いた感じです。見られてまずいファイルの管理は皆さんどのようにされているのでしょうか？
冒頭に書いていますが、ブラウザから確認できるのはPHPの出力処理が書いてあるところだけです。サーバーサイドの言語とはそういうものです。
出力処理部分以外はブラウザ(クライアント)から確認することはできません。なので基本的に「みられる」ことはないでしょう。
例え「名前を付けてページを保存」でダウンロードしようとしても出力処理で出力されている情報、つまり今ブラウザから見えている情報しか入ってきません。
> 見られてまずいファイルの管理は皆さんどのようにされているのでしょうか？
回答に書いています。フレームワークの例ですが。
設定ファイルに書くにしてもブラウザからアクセスできる場所には置きません。
追記です。
なぜなら出力が書いてなくても「そういうファイルが存在すると知られることがまずい」からです。
ディレクトリ内にindex.phpやindex.htmlがなければディレクトリの一覧が出力されますしね。
だからといって全てのディレクトリにindex.phpやindex.htmlを置くのは非効率です。
であれば、存在が知られたりアクセスされても問題ないファイルだけをドキュメントルート配下に置いて、それ以外はブラウザからアクセスできない場所に置くのが定石です。
勉強不足ですみません。ブラウザでアクセスできない場所というのが分かりません、、、ページを公開する以上すべてのファイルをサーバーにアップロードしなければいけないものかと思っていましたが、サーバーにブラウザからアクセスできない場所があったりするのでしょうか？
ブラウザからアクセスできるのは「ドキュメントルート」に指定されたディレクトリ配下のみです。
PHP自体はWebサーバー上にあればどこでも動作は可能であるため(コマンド直接でも実行できる)必ずしもドキュメントルート配下にphpファイルを置く必要はありません。
ドキュメントルートがどこかはサーバーにもよります。ローカル環境であれば自身で設定が可能ですが、レンタルサーバーであればレンタルサーバーの仕様によります。
レンタルサーバーの仕様によってはドキュメントルート変更不可でドキュメントルート配下にしかファイルを置けないところもありますが。
まあつまるところドキュメントルート配下以外に置けばブラウザからアクセスできない場所となります。
ありがとうございます。理解できました。つまりpublicのようなディレクトリには入れないと言うことですね。FTPで通信してサーバーのディレクトリを見ていますが、ファイルは自由に設置はできそうです。そこでまた疑問なのですが、例えばpublicの他にlogのようなでディレクトリがあったりしますが、こんな感じのディレクトリに入れてしまっても大丈夫なのでしょうか？ ホームページアップロード関係を検索してもとにかくpublicフォルダに入れれば大丈夫！のような情報しか出てこなくて困っております。
下記のような構成にしてindex.phpを実行してみると良いです。
public/index.php
app/test.php
index.php
<?php
require_once '../app/test.php';
test.php
<?php
echo 'test';
つまりtest.phpはブラウザからアクセスできない領域にあるものということですが、index.phpから呼び出すようにすることで間接的に実行するような形ですね。
ログだと.logのようなテキストで中身が確認できるようなファイルになることが多いので、ブラウザから参照できるような場所に置いてはいけません。
エラーやデバッグで出力した内容からDBの情報を得られる可能性もありますIDやパスでなくてもテーブル名なども外に出てしまう可能性がありますし、ユーザーログインがあるような場合、ユーザー名が記録してあるとそれも出てしまいます。
それに本番稼働時はエラー表示はOFFにします。なので、絶対にドキュメントルート配下に置いてはいけません。
ログのようなものは有事に管理者・運営者のみが閲覧できれば良い情報ですしね。
>とにかくpublicフォルダに入れれば大丈夫！のような情報
これ、どこでしょうか。もしかしたら質問者さんが誤解している可能性もなくはないと思います。
凄くよく分かりました！まだ確認はできていませんが、この流れで実験してみようと思います！ と、また疑問なのですが、これでファイルにブラウザからアクセスできなくなるのであれば .htaccess のブラウザから見れなくする設定の意味が無くなるような気がするのですが、またこれは別の使いどころがあるのでしょうか？
http://www.candy-cgi.com/web/htaccess.html
おおよそは「特定のIPやホストからのみのアクセスを許可する」場合に使うように思います。
deny from all単体だけで使うことはあまりなさそうです。
例えばCSSで「liでリストを作るが特定の一部だけ違う色にしたい」ときに
とりあえず全部同じ色にしておいて、違う色にしたいものだけ別途classなりidを指定して色をかえるやり方をすることもありますが、考え方は似ています。
ありがとうございます！色々試してみようと思います！助かりました。
0
Deny from all は すべてのアクセス拒否 を意味します。
つまり、そういうことです。
投稿2019/06/12 14:04
総合スコア2937
ご回答ありがとうございます。一般的にcssとjavascriptには制限をしないものなのでしょうか？ また、phpだけ裏で動いてくれるのは何故なのでしょうか？
phpだけ裏で動いているというのはどのように確認したのでしょうか。
「PHPはブラウザアクセスできなくて」と「PHPだけが動くのは何故なのでしょうか？」の
質問が矛盾しているのですが、なぜこのようになっているのでしょうか。
スミマセンちょっと調べてみます。。。
「調べてみます」というのは何を「調べてみます」なのでしょうか。
「phpだけ裏で動いてくれる」というのはどこからの情報なのでしょうか。
phpファイルには関数処理が書かれていて、ブラウザに直接出力するファイルではありません。ほかのファイルからアクセスしてその関数処理を取ってくるような感じで動かしています。
あなたの回答
tips
プレビュー
