「ルートディレクトリに全部のファイルを置くのはよくない」とは。
- 評価
- クリップ 11
- VIEW 8,336
よろしくお願いします。
PHPの入門書には、よく「セキュリティの観点から、ルートディレクトリに全部のファイルを置くのはよくない」と書かれています。
しかし、これ、具体的にどういう意味なのか、なぜよくないのか、じゃあどうすればいいのか、ということについて、ほとんど解説されてないので、ちんぷんかんぷんです。
とはいえ、ここで「誰か私にこのへんのこと全部やさしく教えて」とだけ質問するわけにはいきません。
そこで、まずは私なりに調べたり考えたりしてきたことを箇条書きにしますので、誤解している点、理解の足りない点などをご指摘いただきたくお願いします。
■■
１）ブラウザでいろんなサイトを見てると、Index of/ みたいな表示のもとでサーバー上のあるフォルダの中身がwindowsのエクスプローラーみたいに表示されてしまうことがあるが、そういう場合に、例えばデータベースへの接続情報が書かれているファイルなども開かれてしまうから、 Index of/ という状態でも表示されないよう、ユーザーに見られては困るものは別フォルダに入れておくべき、というのが、「セキュリティの観点から云々」の主旨である。
２）webアプリが複数のフォルダとそれぞれに入った複数のファイルから構成されているとして、どのフォルダが「ルートディレクトリ」なのかというのは、フレームワークを使って開発したのでもない限り、これといって決まりはない。フォルダの命名や構成によって確定されるものではない。
３）じゃ、どうやって、特定のフォルダを「これがルートディレクトリ」と設定するかというと、.htaccessというファイルにそのへんのことを書いておくことで実現する。
４）極端なことを言えば、ルートディレクトリには、実質的には中身スッカスカのindex.phpというファイルをひとつ置いておくだけにするのが最も安全。そのindex.phpの中のコードは、require_onceだらけで、非ルートの別フォルダ内のphpファイルを参照したり呼び出しまくればいいんだから。
５）なんにしろ、とにかく.htaccessのことを勉強しなくてはだめだ。逆に言えば、ルートディレクトリ云々については、.htaccessを勉強するだけでOK。でも「.htaccess入門」という書籍なんかない。ネットで検索してあちこち見ながら学ぶしかない。上級者の人たちもそうしてきた。
■■
以上５点です。
どうでしょうか？
-
気になる質問をクリップする
クリップした質問は、後からいつでもマイページで確認できます。
またクリップした質問に回答があった際、通知やメールを受け取ることができます。
クリップを取り消します
-
良い質問の評価を上げる
以下のような質問は評価を上げましょう
- 質問内容が明確
- 自分も答えを知りたい
- 質問者以外のユーザにも役立つ
評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。
質問の評価を上げたことを取り消します
-
評価を下げられる数の上限に達しました
評価を下げることができません
- 1日5回まで評価を下げられます
- 1日に1ユーザに対して2回まで評価を下げられます
質問の評価を下げる
teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。
- プログラミングに関係のない質問
- やってほしいことだけを記載した丸投げの質問
- 問題・課題が含まれていない質問
- 意図的に内容が抹消された質問
- 過去に投稿した質問と同じ内容の質問
- 広告と受け取られるような投稿
評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。
質問の評価を下げたことを取り消します
この機能は開放されていません
評価を下げる条件を満たしてません
質問の評価を下げる機能の利用条件
この機能を利用するためには、以下の事項を行う必要があります。
- 質問回答など一定の行動
-
メールアドレスの認証
メールアドレスの認証
-
質問評価に関するヘルプページの閲覧
質問評価に関するヘルプページの閲覧
checkベストアンサー
+13
１）ブラウザでいろんなサイトを見てると、Index of/ みたいな表示のもとでサーバー上のあるフォルダの中身がwindowsのエクスプローラーみたいに表示されてしまうことがあるが、そういう場合に、例えばデータベースへの接続情報が書かれているファイルなども開かれてしまうから、 Index of/ という状態でも表示されないよう、ユーザーに見られては困るものは別フォルダに入れておくべき、というのが、「セキュリティの観点から云々」の主旨である。
正しい理解です。index.html または index.php を置いておく，もしくはApacheの設定でOptions -Indexesを書いておくと一覧は閲覧不可能になりますが，そもそもプライベートなファイルにアクセスされ得る可能性がある時点でアウトなので，別の階層下に置いておくのが正解です。
２）webアプリが複数のフォルダとそれぞれに入った複数のファイルから構成されているとして、どのフォルダが「ルートディレクトリ」なのかというのは、フレームワークを使って開発したのでもない限り、これといって決まりはない。フォルダの命名や構成によって確定されるものではない。
正しい理解です。
３）じゃ、どうやって、特定のフォルダを「これがルートディレクトリ」と設定するかというと、.htaccessというファイルにそのへんのことを書いておくことで実現する。
Apacheの場合はサーバ設定を拡張する.htaccessという手段がありますが，Nginxの場合はnginx.confを直接編集しなければなりません。また，Apacheの場合でもhttpd.confを編集するほうがパフォーマンスに悪影響を与えにくいです。
４）極端なことを言えば、ルートディレクトリには、実質的には中身スッカスカのindex.phpというファイルをひとつ置いておくだけにするのが最も安全。そのindex.phpの中のコードは、require_onceだらけで、非ルートの別フォルダ内のphpファイルを参照したり呼び出しまくればいいんだから。
画像やJavaScriptなどアセットと呼ばれるファイル群を除く場合はそうなりますね。但し，別のファイルを呼び出すためにrequire_onceを書きまくるのは古いやり方です。現在では，パッケージマネージャComposerのインストールで作成されたvendor/autoload.phpだけを一番最初に手動で読み込み，あとはcomposer.jsonのautoloadディレクティブによる設定を利用したクラスの自動ロードにすべてを任せることがほとんどです。
５）なんにしろ、とにかく.htaccessのことを勉強しなくてはだめだ。逆に言えば、ルートディレクトリ云々については、.htaccessを勉強するだけでOK。でも「.htaccess入門」という書籍なんかない。ネットで検索してあちこち見ながら学ぶしかない。上級者の人たちもそうしてきた。
うーん，そんなに固執する対象でも無いように思います。ググってその都度軽く調べる程度で全然十分だと思いますよ。私も未だにそんな感じです。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
+8
がると申します。
大体の所は mpyw さんが書かれているので、補足程度、になりますが。
ルートディレクトリ(ドキュメントルート(DocumentRoot)、という言い方のほうが、より一般的かもしれません)は、本来的には、httpdサーバの設定で決まります。
で、そのhttpdが、一般的にはApacheってものであったり、nginxってものであったり、します。
なので、DocumentRoot回りについては、Apacheやnginxについて、少しだけ調べてみると、いくつかの疑問は氷塊するかもしれません。
ただ、httpdの設定はそれはそれで結構「色々と奥も根も深い」ので、深入りするとまた疑問が沢山出てきてしまうと思うので。
適当なタイミングで「いったん」棚の上に置いておいて、後日改めて調べる、くらいの感じにしていたほうが、楽なような気はいたしますが。
ちょっとだけ書いておきますと。
Apacheでは「DocumentRoot」、nginxでは「root」という名前で、それぞれ、ドキュメントルートの場所を指定します。
以上、何かの参考にでもなれば幸いです。
投稿
-
回答の評価を上げる
以下のような回答は評価を上げましょう
- 正しい回答
- わかりやすい回答
- ためになる回答
評価が高い回答ほどページの上位に表示されます。
-
回答の評価を下げる
下記のような回答は推奨されていません。
- 間違っている回答
- 質問の回答になっていない投稿
- スパムや攻撃的な表現を用いた投稿
評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。
15分調べてもわからないことは、teratailで質問しよう！
- ただいまの回答率 88.23%
- 質問をまとめることで、思考を整理して素早く解決
- テンプレート機能で、簡単に質問をまとめられる
質問への追記・修正、ベストアンサー選択の依頼
te2ji
2017/07/21 00:16
ルートディレクトリではなく、ドキュメントルートではないですか？