仅当被另一个 PHP 文件包含时才允许执行 php 文件

Question

如果 PHP 文件包含在另一个 PHP 文件中，则只允许执行该文件的正确做法是什么？

例如，假设我有我的主应用程序文件“main.php”。该文件包括“settings.php”：

// www.mydomain.com/MAIN.PHP
<?php
require 'settings.php';
?>

// www.mydomain.com/SETTINGS.PHP
<?php
// DO SOMETHING
?>

如果用户从他们的浏览器运行“www.mydomain.com/SETTINGS.PHP”，我如何才能使“settings.php”不被执行？

我正在寻找仅 PHP 的解决方案。

Answer 1

第一个解决方案显然是不要将它放在网络可访问的位置。有时这是不可行的，因此您可以进行检查：

// www.mydomain.com/MAIN.PHP
<?php
define('SOMETHING', true);
require 'settings.php';


// www.mydomain.com/SETTINGS.PHP
<?php
if(!defined('SOMETHING')) { die(); }
// DO SOMETHING

或者您可以在全局头文件中使用类似的内容：

if(strpos($_SERVER["PHP_SELF"], basename(__FILE__) !== false) { die(); }

Answer 2

另一种方法是检查请求的文件（通常是$_SERVER['REQUEST_FILENAME']）是否匹配__FILE__。 __FILE__ 设置为您当前所在文件的名称，即使在包含中也是如此。如果它们相同，那么您将直接加载文件。如果不同，则可以假定为包括在内。

Answer 3

一种方法是检查包含 settings.php 时设置的“神奇”值。

// www.mydomain.com/MAIN.PHP
<?php
$magic = "c00f0c4675b91fb8b918e4079a0b1bac";
require 'settings.php';
?>

// www.mydomain.com/SETTINGS.PHP
<?php
if ($magic != "c00f0c4675b91fb8b918e4079a0b1bac") {
    die("Cannot be executed independently.");
}
// DO SOMETHING
?>

这可以防止随意胡闹；它不会保护您免受可以读取您的 PHP 文件的人的攻击，即可以访问您的服务器的人。

Answer 4

在settings.php中，可以检查$_SERVER['SCRIPT_FILENAME']是否为settings.php；如果是：直接访问脚本，如果不是：正在包含脚本

//settings.php
echo $_SERVER['SCRIPT_FILENAME']; // echoes 'settings.php'

//file.php
include 'settings.php'; //echoes 'file.php';

这意味着你可以这样做：

//settings.php
if($_SERVER['SCRIPT_FILENAME'] != 'path/to/the/settings/file/settings.php'){
    define('SETTING', true);
}

Answer 5

如果要允许包含远程文件，必须在 php.ini 中将指令 allow_url_include 设置为 On

See reference