Я самоучка кодера, и я попал в php, поэтому, пожалуйста, извините меня, если это основная проблема/вопрос.Расширения php-файлов: проблема с безопасностью?
Я собирал небольшие сайты с использованием php и с помощью расширений php-файлов, т.е. index.php. Но мне недавно сказали, что «php» в адресе страницы не подходит для безопасности.
Может кто-нибудь коротко объяснить, почему это может быть так, и что я должен делать ?
MTIA.
Это не действительно важно, это просто говорит кто-то просматривая сайт, что ваше приложение написано в PHP, и это помогает злоумышленнику, потому что тогда они имеют представление о том, что напасть.
Если вы хотите скрыть его, вы можете использовать mod_rewrite для переписывания запросов, у которых нет расширения .php для целевого PHP-скрипта. Если вы собираетесь это сделать, вы также должны отключить expose_php в php.ini.
Обратите внимание, что это не делает ваше приложение более безопасным, это просто делает его немного более трудным для злоумышленника, чтобы понять вещи.
Obfuscating, какая технология вы используете, не заменит ваше приложение и его инфраструктуру. Скрытие расширения файла PHP должно быть одним детальным в списке многих шагов, которые необходимо предпринять для защиты вашего кода и сервера.
Все книги написаны по темам безопасности PHP. Вот хороший один, чтобы начать с:
http://www.amazon.com/Essential-PHP-Security-Chris-Shiflett/dp/059600656X/ref=pd_sim_b_2
Имея .php в названии страницы, вы объявляете миру, что ваш сайт работает на PHP. Любой, кто заинтересован в нападении на ваш сайт, не должен тратить лишнее время и энергию на то, что вы используете.
Однако это не ОСНОВНАЯ проблема. Кто-то, кто напал на вас, нападет на вас, скоро это выяснит.
Единственная причина, по которой это может быть неверно с точки зрения безопасности, заключается в том, что она фактически сообщает всем, кто посещает сайт, какую технологию (язык сценариев) использовали для создания сайта. Все остальное связано с большей вероятностью того, что пользователь знает, что это PHP (например, злоумышленник может попытаться использовать некоторые распространенные ошибки, сделанные некоторыми PHP-кодами).
Однако вы можете легко изменить расширение, например. .asp с использованием mod_rewrite (see more).
Вам сказали неправильно – Phil