[php] Schutz vor Dateiausgabe bei Server-Fehler

[Lutz Zetzsche]

Hi Kris,

Am Dienstag, 11. Juli 2006 19:42 schrieb Kristofer Schwab:
> Lutz Zetzsche schrieb:
> > Hallo Kristofer,
> >
> > Am Dienstag, 11. Juli 2006 15:13 schrieb Kristofer Schwab:
> >> habe schon einige Male erlebt, dass ein Server eine PHP-Datei
> >> ungeparsed an den Browser leitet.
> >> Wie handhabt ihr das, dass der User den Dateiinhalt nicht zu
> >> Gesicht bekommt?
> >
> > eigentlich sollte das nicht vorkommen, wenn die Datei die richtige
> > Endung hat und diese Endung in der Serverkonfiguration dem
> > PHP-Parser zugeordnet ist (mit Wirkung auf das Verzeichnis, in dem
> > die Datei liegt).
>
> Du hast Recht, nur gehe ich von einem Server-Fehler aus
> (PHP-Interpreter fällt aus?).
>
> Was wenn man einfach den tatsächlichen Dateiinhalt included? Dann
> würde der neugierige User zwar den Dateinnamen der includeten Datei
> kennen, aber bei sorgfältiger Rechte-Konfiguration der Ordner und
> Includes sollte dies doch kein Problöem mehr darstellen oder?

es würde reichen, die einzubindenden Dateien außerhalb des DOCUMENT_ROOT 
abzulegen. Damit wären sie über HTTP nicht mehr erreichbar.

Allerdings ist es mir persönlich noch nie passiert, daß ich im Browser 
PHP-Code anstatt der Seite zu sehen bekommen habe, außer ich habe einen 
Konfigurationsfehler gemacht.

Trotzdem scheint Dein Erklärungsversuch, PHP-Interpreter fällt aus, 
nicht ganz abwegig zu sein:

	http://www.php-faq.de/q/q-php-code.html

Weitere Gründe für die Anzeige des PHP-Codes im Browser habe ich hier 
gefunden:

	http://www.tippscout.de/php-quelltext_tipp_3139.html


Viele Grüße
Lutz