PHPのセキュリティ（ドキュメントルート・localhost）

質問

PHPのセキュリティに関して、
どうしても解決できないことがありますので、教えてください。

(1)「ドキュメントルートより上にファイルを置く方法」
セキュリティの本や掲示板などで、
「MYSQL等のパスワードなどが記載されたphpファイルは、
ドキュメントルートより上に置いたほうが良い」
と書かれています。

http://www.amazon.co.jp/gp/product/4883374718/sr=11-1/qid=1164952057/ref=sr_11_1/503-4091124-2745559

https://www.xserver.ne.jp/support/support3d-30.html

ドキュメントルートより上とは、
サイトに通常アップロードするフォルダ
（index.phpがあるフォルダ）
より上に置くということですよね。

しかしレンタルサーバーでサイト構築を行う場合、
それは不可能ではないでしょうか？

ご存じの方、恐縮ですが、
なるべく具体的に教えてください。

(2)「localhostのセキュリティー」
上記に書いたように、サイト運営はレンタルサーバーで行い、
今後も自宅サーバーで構築すう予定はありません。

それでも、htdocs内のファイルや、
localhostでPHP、MYSQLに関してもセキュリティ対策は必要でしょうか。

もし必要な場合は、必要な対策内容を教えてください。

以上お時間とりますが、何卒宜しくお願いします。

回答No.1

gfct9s

ドキュメントルートより上にファイルを置くのは、レンタルサーバーでは
不可能ではないかということですね。

xserverの場合はpublic_html/がドキュメントルートということですが、
これは自分専用のフォルダが/home/user/だとすれば、ドキュメント
ルートが/home/user/public_html/だということだと思います。

この場合、/home/user/public_html/index.phpは、
http://www.example.com/index.phpでアクセスできると仮定すると、
そのindex.phpの中で、
$fp = fopen('../password.txt', 'r');
なんてやったりしますと、開くファイルは/home/user/password.txtになります。

このpassword.txtはインターネットからブラウザを用いて見ようとしても
見えませんよね。もちろん/home/user/は自分専用のフォルダなので、
password.txtを設置することはできます。

しかし、/home/user/public_html/index.phpで、
$fp = fopen('password.txt', 'r');
とやった場合、開くのは/home/user/public_html/password.txtです。
確かにそこにもpassword.txtを設置できますが、これは
http://www.example.com/password.txtにアクセスすると見えて
しまいます。まずいですね。

私もとあるレンタルサーバー(共用)を利用していますが、上記と同様の
フォルダ構成になっているので、ドキュメントルートのより上にファイルを
置くことができています。

2点目のlocalhostで行うセキュリティ対策というのは何のことか
よくわからなかったのですが、もし「PHPサイバーテロの技法」の記述に
ついての質問でしたら、ページ数を指摘していただけますか。

あるいは、「セキュリティ対策」の内容について具体的に書いて頂けますと、
お答えできるとおもいます。

補足

gfct9sさん
具体的なアドバイスありがとうございます。
こんなにまで丁寧に書いて頂いて感動しています。

ドキュメントルートに関しての疑問が、ようやく解決しました。
gfct9sさんのコメントから、
「フォルダ構成はサーバーによって異なるのでは」と考え、
現在使用中のロリポップサーバーを調べた所、
ドキュメントルートより上にファイルを置けないことがわかりました。

対応してないサーバーで実現しようとしてたのが、
そもそも間違っていたのです。
セキュリティを求める際は、
対応しているサーバーを選ぶことにしますね。

gfct9sさんのおかげで安心しました。
本当にありがとうございます。

二つ目の質問は、理解しにくい内容で失礼しました。
私が悩んでるのは、
「テストしか行わないlocalhost環境にも、
サーバーテロの危険性はあるのか」ということです。

webにアップしているファイルには対策は必要でしょうが、
テスト環境にある、htdocsにあるファイルを、
localhostに接続する際にも、
XSSやSQL Injectionの被害を受けることはあるのでしょうか。
ということなんです。

その恐れがあると、
htdocs内で単純に作ったスクリプトにも、
気を配らないといけなくてはならなく面倒だなと。

「PHPサイバーテロの技法」とは関係なく、
私個人が抱えている悩みです。

説明が足りなければ、また補足させてください。
お時間とりますが、宜しくお願い致します。