Apache or .htaccessで、「SSI」 & 「.html拡張子でPHPを使用」両方を実現したい。

Question

知りたいこと

「.htaccess」 or 「Apache」で、どのように設定したら以下2点を実現できるか知りたいです。

1. 拡張子.htmlで、SSIを実現
2. 拡張子.htmlで、PHPを使用

もし他に、実現できる方法がありましたら
ご教示いただけますと大変助かります。🙏

試したこと

「.htaccess」で以下のように記述すると、
下に書いた方が優先されます。（→ どちらか一方しか適用されない）

AddHandler application/x-httpd-php .php .html
AddHandler server-parsed .html

他には、↓こちらも同様。

AddType application/x-httpd-php .html
AddOutputFilter INCLUDES .html
Options +Includes

バージョン（開発環境：MAMP）

• PHP：7.3.8
• Apache：2.0

Answer 1

以前に似たような質問がありました。

技術的には対応法が存在するのですが、セキュリティ面でやるべきではない、とのことでした。

Comments

[shu0328]

ご教示いただきありがとうございます。
こちら知らなかったです、かなり危険なのですね。。😅

[otn]

IncludesNOEXEC ならコマンド実行は出来ないので「SSIとの組み合わせでサーバー側で不正にコマンド実行されてしまいます」と言うこと自体は無いのですが、徳丸さん(ockeghem)が「避けるべき」と書かれているので、コマンド実行以外にも危険性があるのかも知れません。
あるいは、その質問では Options +Includes と書かれているので、IncludesNOEXEC でなく Includes ならコマンド実行できるので危険と言うだけの話かも知れません。

#include では、普通にURL指定で見られないファイル(.htaccess とか/etc/passwd とか)は見られないし、
危険かもと言うと #printenv とかですかね。

[shu0328]

ご回答ありがとうございます。
知らないことばかりでとても勉強になります💪

Answer 2

SSIで出来ることはPHPでも出来るはずなので、あまりニーズがないのかも知れません。
拡張子での指定はPHPかSSIか1つしか駄目なようなので、違う方法でSSIを指定します。

XBitHack on

これで「実行可能ビット」がオンならSSIが処理されます。
Windowsだと「実行可能ビット」が無いので駄目かも知れません。以下、Unix/Linux前提です。

1．拡張子でのSSI指定記述を全部削除して、XBitHack onだけ書く
2．SSIを有効にしたいhtmlファイルに対して、chmod +x そのファイル名で実行可能ビットをオンにする
3．ls -l そのファイル名を実行して-rwxrwxr-x等でxが付いていることを確認
4．ブラウザでそのファイルにアクセスしてSSIが効いていることを確認

その上で、拡張子htmlをPHPに関連付ければ、まずPHPで処理されて、その結果に対してSSIが働くようです。

下記はPHPを通さないとSSI構文にならないですが、ちゃんとSSI処理されるので、PHPが先と分かります。

<?php
echo '<';
echo '!--#echo var="DATE_LOCAL" -->';
?>

Comments

[shu0328]

早速ご回答ありがとうございます。
確かに2点とも、処理されているようです。
ただ文字化けしてしまっているようで、希望は以下の順で実行されるようにしたいです。
こちらは可能でしょうか？？？

1. まず拡張子html内でSSI実行
2. 次に拡張子html内でPHP処理

[otn]

> まず拡張子html内でSSI実行
AddInputFilter INCLUDES .html で行けるかも知れません。
これだとPHPの処理結果をSSI処理するわけじゃないので、PHPの脆弱性が影響してくることは無いですね。

これが効くなら、AddOutputFilter INCLUDES .html は消した方が良いかも。

> ただ文字化けしてしまっているようで、
これはこれで対策した方が良いと思います。

[shu0328]

ご回答ありがとうございます、大変助かります。
上記ですが、解説を確認する限りいけそうだったのですけども
なぜか「.htmlファイル内でphp実行」のみしか実現できず。。

・・・・・・・・・・・・・・・・・

Apache、.htaccessそれぞれ記載パターンをかえることで
結果も変わってくるようで、もう少し試してみます。💪

また別の方法でも良いので
もしなにかアイデアありましたらご共有いただけますと幸いです。💡

[otn]

Apacheの中での各処理をどの順番で処理するかを書いた図を見たと思いますが、
ぱっと見では見つからず、もしかするとリライト限定だったかもしれません。

> また別の方法でも良いので
回答の1行目に書いたように、PHPで全部書くことですかね。
「PHP部分は改変不可」なので無い限り。

[shu0328]

諸々ご確認ありがとうございます。

1ページ内に、以下の2つが共存するようなページとなっておりまして
どちらも問題なく動作するようにしたいです。
（→ どちらか一方だとうまくいくが、両方だと文字化けしちゃうのよね 😭）

<!--#include virtual="/include/xxxxx.html" -->
<?php echo $xxxxxx;?>

[otn]

> （→ どちらか一方だとうまくいくが、両方だと文字化けしちゃうのよね 😭）
「PHPも処理されて、SSIも処理されている。文字化けだけが問題」
ということであれば、コーディングミスあるいはファイルのエンコーディングがおかしいということなので、今回の質問とは関係ないですね。

自力で解決できなければ、別途質問をするのでしょうか。その場合はコーディングミスの可能性がかなりあるので、現象の発生する最低限（数行程度）のコードの提示が必要です。/include/xxxxx.html と PHPファイルの両方。各ファイルの文字コードのエンコーディング種類と（まあUTF-8でしょうけど）。
また、あまり関係なさそうな気がしますが、Apacheの設定ファイルでエンコーディングに関する箇所があれば、それも。
あと、PHP部分が修正可能なら全部PHPでやればいいので、「どの範囲が修正可能で、どの範囲は修正不可」とかの前提条件も忘れずに。