Apacheで、アクセスさせたくないファイルがある

質問

PHPで、「データベース接続ファイル」と「main.php」があります。
main.phpからアクセスして、DBの内容を表示するページがあります。

・DB接続ファイル(database.php）
<?php
// MDB2 ライブラリの読み込み
require_once("MDB2.php");

// エラー発生時の処理
PEAR::setErrorHandling( PEAR_ERROR_CALLBACK, 'handleError' );
function handleError( $error )
{
die('エラーが発生しました。管理者までお問い合わせ下さい。');
}

// データベースへの接続
$dsn = array(
"phptype" => "mysql",
"username" => "root",
"password" => "",
"hostspec" => "localhost",
"database" => "test",
);
$mdb2 =& MDB2::connect( $dsn, $options );

// 文字コードの指定
$mdb2->setCharset( "utf8" );
?>

・main.php(DBの内容を表示)
require_once("database.php");

　　　　～処理～

質問：
当然、main.phpからアクセスして、DBの内容を表示します。
アドレスとしては、「http://localhost/main.php」とアクセスするのですが、
「http://localhost/database.php」とアクセスしてもページの遷移が可能です。

この「http://localhost/database.php」にアクセスしソースファイルを見ることが可能で
DBへの、接続ユーザー・パスワードがみられてしまうことが問題だと思っています。

この、
「一部ファイルへの直叩き」or「制限」をかけて、直接アクセスできなくなる方法を探しております。
(ただ、別のphpファイルから参照は許しておきたい。main.phpからアクセスできなくなっては意味がないの。)

アパッチでどのような設定をすればいいでしょうか。
参考になるページ等をご存知でしたら
ご教授お願いします。

回答No.1

utun01 · ベストアンサー

ちょっとずれていたらお聞き流しください。

apacheの設定云々ではなく、DocumentRoot下に置かなければ良いのでは？
パスワード等を含むファイルは基本的にDocumentRoot下には置かないものだと思います。
設定次第で見えなくしたとしても、どこにセキュリティホールがあるか分かりませんからね。

お礼

情報ありがとうございます。

>ちょっとずれていたらお聞き流しください。
apacheの設定云々ではなく、DocumentRoot下に置かなければ良いのでは？

ありがとうございます。
そのとおりだと思いました。気づきませんでした。

自分でも知らず知らずのうちに、DocumentRootに置かなくてはいけない。かつ、
パスワードファイルの機密性を守りたいと考えていたのです。

非常に参考になりました。
ありがとうございました。

回答No.4

yambejp

>この「http://localhost/database.php」にアクセスしソースファイルを]見ることが可能で
>DBへの、接続ユーザー・パスワードがみられてしまうことが問題だと思っています。

いまいち意味がわからないのですが
(1)database.phpには関数が書かれているだけなんだから
database.phpにアクセスしてもソースはみえないでしょ？

(2)phpの実行がキャンセルになった場合ソースが見える可能性があるので
これはinclude_pathを調整すればよいかもしれません。

(3)apacheの処理としては
<FilesMatch "^database\.php$">
Order allow,deny
Deny from all
</FilesMatch>

のような処理になると思います

お礼

情報ありがとうございます。

include_pathを調整する方向で以降と思います。
ご教授ありがとうございました。

回答No.3

shimix

基本的には、ANo.1さんやANo.2さんが書かれたように「http経由でアクセスされない場所に置く」のがベストです。もしサーバの都合でそれが出来ないのであれば、.htaccessで（Filesディレクティブなどを使って）deny frm allするとか、そもそも拡張子を.plにしてしまうとか（includeでは何の問題もない）手法はいくらでもあります。

ただ『includeされるファイルに単独でアクセスされたらソースが見られてしまう』というのは、ちょっと考えにくい状態ですね。本当にhttp経由でアクセスして試されたのでしょうか？拡張子.phpのファイルに対してそのままテキストで返すようなサーバはあり得ないのですが・・・

お礼

情報ありがとうございます。

htdocs以外の場所におく方法で考えて見ます。

phpが無効になった時に、
『includeされるファイルに単独でアクセスされたらソースが見られてしまう」ちょっとみえてしまったので
そこを警戒しました。

回答No.2

satomi3951

database.phpをApacheから参照されない場所に置いておいて、
include_pathでその場所をphpからは参照できるようにしておけば？

例
/usr/local/foo/lib/database.php

php.iniなら
include_path=/usr/local/foo/lib

.htaccessなら
php_value include_path /usr/local/foo/lib

※動作確認はしてません

お礼

情報ありがとうございます。

そのとおりだと思いました。気づいてませんでした。

自分でも知らず知らずのうちに、DocumentRootに置かなくてはいけない。かつ、
パスワードファイルの機密性を守りたいと考えていたのです。

非常に参考になりました。
ありがとうございました。