Что происходит, если кто-то пытается загрузить мой файл аутентификации?

Question

Если постоянному и злонамеренному пользователю повезло и загрузили один из ваших секретных файлов в браузер, а эти секретные файлы содержат много переменных, которые определены только в том случае, если файл был перенаправлен, что вы делаете?

Это проверочный скрипт для login.php, который был моим оригинальный сценарий

if (!isset($_POST['email']) && !isset($_POST['pwd'])) { 
    header ('Location: http://localhost/grace/verify/login.php'); 
    exit; 
} 
// connect to database 
$verify = 'SELECT pwd FROM users WHERE email = ?'; 
// query 

if ($password == $storedPwd) { 
    $_SESSION['verified'] = 'yay!'; 
    $_SESSION['start'] = time(); 
    session_regenerate_id(); 
    header ("Location: $redirect"); 
    exit; 
} else { 
    $error = 'Invalid Email or password'; 
} 

Там может быть так много других способов сделать тот же сценарий, но в моем случае , чтобы решить мою проблему, решение - мой ответ в ответах ниже.

Answer 1

Хорошо, многие люди, прочитавшие это сообщение, даже не удосужились прочитать мой сценарий, я хочу уточнить свой вопрос и ответить на свой вопрос.

Если пользователь, скажем, ей повезло, и загрузите один из ваших секретных файлов, например authenticate.php, в котором существуют переменные, только если она перенаправляется с другой страницы, например login.php. Поэтому мое решение - использовать $_SERVER['HTTP_REFERER'].

if (!isset($_SERVER['HTTP_REFERER'])) { 
    header('Location: http://localhost/grace/login.php'); 
} else { 
    $path = parse_url($_SERVER['HTTP_REFERER'], PHP_URL_PATH); 
    if (!$path == '/login.php') { 
     header('Location: http://localhost/grace/login.php'); 
    } else { 
     // run the code 
    } 
} 

Это гарантирует, что никто не сможет напрямую загружать ваши секретные файлы в браузер.