1：含まれるファイルの数を確認する
if( count(get_included_files()) == ((version_compare(PHP_VERSION, '5.0.0', '>='))?1:0) )
{
exit('Restricted Access');
}
ロジック：最小インクルード数が満たされない場合、PHPは終了します。PHP5より前のバージョンでは、ベースページはインクルードとは見なされません。
2：グローバル定数の定義と検証
// In the base page (directly accessed):
define('_DEFVAR', 1);
// In the include files (where direct access isn't permitted):
defined('_DEFVAR') or exit('Restricted Access');
ロジック：定数が定義されていない場合、実行はベースページから開始されず、PHPは実行を停止します。
注変更は、すべて単一のファイルにハードコーディングされたする必要がないので、アップグレードや将来の変化間の移植のために、この認証方法のモジュラーを作ることはかなりのオーバーヘッドのコーディングを減らすだろうと。
// Put the code in a separate file instead, say 'checkdefined.php':
defined('_DEFVAR') or exit('Restricted Access');
// Replace the same code in the include files with:
require_once('checkdefined.php');
このようにして、追加のコードをに追加して checkdefined.php 、ロギングと分析の目的で、適切な応答を生成できます。
クレジットの期限が到来するクレジット：移植性の素晴らしいアイデアは、この回答から生まれました。
3：リモートアドレス認証
// Call the include from the base page(directly accessed):
$includeData = file_get_contents("http://127.0.0.1/component.php?auth=token");
// In the include files (where direct access isn't permitted):
$src = $_SERVER['REMOTE_ADDR']; // Get the source address
$auth = authoriseIP($src); // Authorisation algorithm
if( !$auth ) exit('Restricted Access');
このメソッドの欠点は、内部リクエストでセッショントークンが提供されない限り、実行が分離されることです。単一サーバー構成の場合はループバックアドレス、マルチサーバーまたは負荷分散サーバーインフラストラクチャの場合はアドレスホワイトリストを使用して確認します。
4：トークン認証
前の方法と同様に、GETまたはPOSTを使用して、許可トークンをインクルードファイルに渡すことができます。
if($key!="serv97602"){header("Location: ".$dart);exit();}
非常に厄介な方法ですが、正しい方法で使用すると、おそらく最も安全で多用途な方法でもあります。
5：Webサーバー固有の構成
ほとんどのサーバーでは、個々のファイルまたはディレクトリに権限を割り当てることができます。すべてのインクルードをそのような制限されたディレクトリに配置し、それらを拒否するようにサーバーを構成することができます。
たとえばAPACHEでは、設定は.htaccessファイルに保存されます。チュートリアルはこちら。
注しかし、彼らは別のウェブサーバー間での移植のために悪いため、サーバー固有の構成は私が推奨されていないこと。コンテンツ管理システムのように、拒否アルゴリズムが複雑である場合、または拒否されたディレクトリのリストがかなり大きい場合、再構成セッションが煩雑になるだけです。結局、コードでこれを処理するのが最善です。
6：インクルードをサイトルート外の安全なディレクトリに配置する
サーバー環境でのアクセス制限のため、あまり推奨されませんが、ファイルシステムにアクセスできる場合はかなり強力な方法です。
//Your secure dir path based on server file-system
$secure_dir=dirname($_SERVER['DOCUMENT_ROOT']).DIRECTORY_SEPARATOR."secure".DIRECTORY_SEPARATOR;
include($secure_dir."securepage.php");
論理：
htdocsリンクはWebサイトのアドレスシステムの範囲外であるため、ユーザーはフォルダーの外部にあるファイルを要求できません。- phpサーバーはファイルシステムにネイティブにアクセスするため、必要な権限を持つ通常のプログラムと同じようにコンピューター上のファイルにアクセスできます。
- このディレクトリにインクルードファイルを配置することで、ユーザーがホットリンクを拒否している間に、phpサーバーがそれらにアクセスできるようにすることができます。
- Webサーバーのファイルシステムアクセス構成が適切に行われていなくても、この方法により、これらのファイルが誤って公開されるのを防ぐことができます。
私の正統でないコーディング規約を許してください。どんなフィードバックでもありがたいです。