[PHP-JS] Est-il utile de placer ses fichiers en dehors du dossier WW...

[JackBeauregard]

Bonjour,

J'avais lu une fois que pour assurer une bonne sécurité, il est utile de placer ses scripts en dehors du répertoire WWW afin qu'ils ne puissent être ouverts dans le navigateur.

Je le fais, mais pas toujours et je voudrais savoir si c'est bien utile et si oui pourquoi.


Qu'en pensez-vous ?

[berceker united]

Envoyé par JackBeauregard

Bonjour,

J'avais lu une fois que pour assurer une bonne sécurité, il est utile de placer ses scripts en dehors du répertoire WWW afin qu'ils ne puissent être ouverts dans le navigateur.

Je le fais, mais pas toujours et je voudrais savoir si c'est bien utile et si oui pourquoi.


Qu'en pensez-vous ?

Totalement inutile des lors ou le contenu du script n'est pas envoyé au navigateur. Si tes fichier scripts ont comme extension .inc mais que le navigateur n'est pas configuré pour dire que les fichiers .inc c'est du php alors là oui le code sera visible coté client. Problème se résou simplement donnant comme extension .php ou .inc.php

[tthierry]

>Problème se résou simplement donnant comme extension .php ou .inc.php

si l'interpréteur php tombe en rade pour une raison ou une autre le code sera visible quelque soit l'extension.

en revanche :

Code :

1
2
 
include('toto.php');

où toto.php est placé en dehors du www n'affichera que "include('toto.php');" sur le navigateur, et toto.php restera inacessible tout comme son code (le mieux est aussi d'utiliser la configuration include_path pour cacher le path réel).

cela permet aussi d'empêcher d' appeler directement un script, donc oblige de passer obligatoirement par le fichier qui l'inclue (ça peut éviter des erreurs en fonction de l'architecture).

+

[berceker united]

Envoyé par tthierry

>Problème se résou simplement donnant comme extension .php ou .inc.php

si l'interpréteur php tombe en rade pour une raison ou une autre le code sera visible quelque soit l'extension.

en revanche :

Code :

où toto.php est placé en dehors du www n'affichera que "include('toto.php');" sur le navigateur, et toto.php restera inacessible tout comme son code (le mieux est aussi d'utiliser la configuration include_path pour cacher le path réel).

cela permet aussi d'empêcher d' appeler directement un script, donc oblige de passer obligatoirement par le fichier qui l'inclue (ça peut éviter des erreurs en fonction de l'architecture).

+

"L'interpréteur qui tombe en rade" . Tomber sur quelqu'un qui connait php + mal attentionné c'est une chance sur plusieur millions même si il est les code mysql il pourra rien y faire si le server est en localhost.
Tu peux placer les fichiers scripts à l'exterieurs du www/ mais je pense que tu psychote un peut trop. Détent toi un peut

[tthierry]

>"L'interpréteur qui tombe en rade"

ok

mais faut pas oublier :
cela permet aussi d'empêcher d' appeler directement un script, donc oblige de passer obligatoirement par le fichier qui l'inclue (ça peut éviter des erreurs en fonction de l'architecture).

là c'est déja plus accessible

[Taum]

cela permet aussi d'empêcher d' appeler directement un script, donc oblige de passer obligatoirement par le fichier qui l'inclue (ça peut éviter des erreurs en fonction de l'architecture).

Ca peut-être fait très facilement en utilisant mod_access d'apache. Il est d'ailleur fréquent d'avoir un dossier avec tout les includes qui contient un .htaccess avec "Deny from all".

De nombreux hebergeurs ne permettent pas de placer des fichiers en dehors de "www", ce qui peut-être un problème si l'on veut redistribuer l'appli en question

[kankrelune]

Le seul interet de placer des fichiers hors de l'arbo http c'est pour des fichiers en streaming/download (et encore qu'un répertoire avec .htaccess peut faire l'affaire) ou pour des fichiers de configuration serveur tel que les .htpwrd et .htgroup... .. .

@ tchaOo°