一、理解公共文件夹的访问风险
在codeigniter（或其他web框架）中，public（或htdocs、www）文件夹通常用于存放可直接通过url访问的静态资源，如css、javascript、图片等。然而，有时开发者可能会在此文件夹或其子目录中存放需要权限控制的文件，例如日志文件、敏感配置、用户上传的私有文件等。如果不采取额外措施，这些文件可能被未登录用户通过直接输入url访问，从而导致信息泄露。
例如，原始问题中提到的情况：
这些路径直接暴露了文件内容，且未进行身份验证。
二、核心保护策略：.htaccess与PHP代理
为了解决上述问题，我们将采用一种双层保护策略：
- 使用.htaccess文件限制直接访问： 在需要保护的子文件夹中放置.htaccess文件，禁止所有直接对该文件夹内文件的HTTP请求，但允许Apache/Nginx等Web服务器通过index.php（CodeIgniter的入口文件）进行内部重写访问。
- 创建PHP代理脚本进行身份验证： 对于需要授权访问的文件，不再直接访问，而是通过一个CodeIgniter控制器方法或独立的PHP脚本作为代理。该代理脚本负责检查用户的登录状态（即身份验证），如果用户已登录，则读取并输出实际的文件内容；否则，拒绝访问。
三、实施步骤
3.1 限制直接访问：配置.htaccess
在需要保护的公共子文件夹中（例如 public/logs），创建一个名为 .htaccess 的文件，并添加以下内容：
# public/logs/.htaccess
# 拒绝所有直接访问该文件夹内文件的请求
# 但允许通过 CodeIgniter 的 index.php 进行内部重写访问
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /logs/ # 确保RewriteBase与当前文件夹路径匹配
# 如果请求的文件存在且不是 index.php，则拒绝访问
RewriteCond %{REQUEST_FILENAME} -f
RewriteCond %{REQUEST_FILENAME} !index.php
RewriteRule ^.*$ - [F,L] # F表示Forbidden (403), L表示Last rule
</IfModule>
# 或者更简单的通用拒绝方式，但需要确保你的Web服务器配置不会阻止CodeIgniter的重写
<Files *.*>
Order Deny,Allow
Deny from all
</Files>
# 允许 index.php 被访问 (如果你的代理文件是 index.php 或者其他PHP文件)
# 如果你打算使用独立的PHP代理文件，则需要允许它们
<Files ~ "\.(php)$">
Allow from all
</Files>说明：
- 第一种RewriteRule方式更精确，它会检查请求的文件是否存在，如果存在且不是index.php，则返回403 Forbidden。
- 第二种Deny from all方式更简单粗暴，它会阻止所有文件的直接访问。如果你使用这种方式，你可能需要确保你的PHP代理文件（例如detailed_logs.php）被明确允许访问，或者你的Web服务器（如Apache）配置了AllowOverride All。
- 对于CodeIgniter应用，通常我们希望所有请求都经过index.php。因此，一个更常见的做法是，在公共文件夹的根目录（public/）有一个.htaccess将所有请求重写到index.php，而子目录的.htaccess则直接拒绝。
为了本教程的清晰性，我们假设你希望public/logs中的所有文件都通过代理访问，并且该代理是CodeIgniter的一个控制器方法。在这种情况下，public/logs/.htaccess可以简化为：
# public/logs/.htaccess Order Deny,Allow Deny from all
这个配置将阻止所有对public/logs目录下文件的直接访问。
3.2 创建PHP代理脚本（CodeIgniter控制器方法）
由于我们已经阻止了对文件的直接访问，现在需要一个CodeIgniter控制器方法来作为这些文件的“守门人”。这个方法将负责验证用户身份，并在验证通过后读取并输出文件的内容。
步骤1：在CodeIgniter中配置路由
为了通过一个友好的URL访问，我们需要在application/config/routes.php中添加路由规则。
// application/config/routes.php // 路由到日志文件代理 $route['logs/(:any)'] = 'FileAccess/view_log/$1'; // 路由到代码文件代理 $route['code/(:any)'] = 'FileAccess/view_code/$1';
步骤2：创建文件访问控制器
创建一个新的控制器，例如 application/controllers/FileAccess.php，用于处理文件请求。
<?php
defined('BASEPATH') OR exit('No direct script access allowed');
class FileAccess extends CI_Controller {
public function __construct()
{
parent::__construct();
// 确保加载了会话库，用于检查用户登录状态
$this->load->library('session');
}
/**
* 检查用户是否已登录
* @return bool
*/
private function _is_logged_in()
{
// 假设你有一个session变量来标识用户是否登录
// 例如：$this->session->userdata('logged_in')
return (bool)$this->session->userdata('logged_in');
}
/**
* 通用的文件服务方法
* @param string $folder_name 文件夹名称 (e.g., 'logs', 'code')
* @param string $file_name 文件名 (e.g., 'detailed_logs', 'device.js')
*/
private function _serve_protected_file($folder_name, $file_name)
{
if (!$this->_is_logged_in()) {
// 用户未登录，返回403 Forbidden
show_error('您没有权限访问此文件。', 403, '访问被拒绝');
return;
}
// 构建文件的绝对路径
// 注意：这里假设文件在 public/logs 或 public/code 目录下
// 更好的做法是将敏感文件放在 web root 之外
$file_path = FCPATH . $folder_name . '/' . $file_name;
// 检查文件是否存在
if (!file_exists($file_path)) {
show_404();
return;
}
// 获取文件MIME类型
$mime_type = get_mime_by_extension($file_path);
if ($mime_type === FALSE) {
$mime_type = 'application/octet-stream'; // 默认二进制流
}
// 设置响应头，告知浏览器文件类型和大小
header('Content-Type: ' . $mime_type);
header('Content-Length: ' . filesize($file_path));
header('Content-Disposition: inline; filename="' . basename($file_name) . '"'); // inline表示在浏览器中显示，attachment表示下载
header('Cache-Control: public, max-age=3600'); // 简单缓存控制
// 读取并输出文件内容
readfile($file_path);
exit(); // 确保不再执行其他代码
}
/**
* 代理访问日志文件
* URL: /logs/detailed_logs
*/
public function view_log($file_name)
{
$this->_serve_protected_file('logs', $file_name);
}
/**
* 代理访问代码文件
* URL: /code/device.js
*/
public function view_code($file_name)
{
$this->_serve_protected_file('code', $file_name);
}
}说明：
- _is_logged_in() 方法是核心，你需要根据你的实际认证逻辑来判断用户是否登录。例如，检查$_SESSION变量，或者CodeIgniter的$this->session->userdata('user_id')是否存在。
- _serve_protected_file() 是一个通用方法，用于处理文件读取和输出的逻辑。它首先进行身份验证，然后检查文件是否存在，最后设置HTTP头并输出文件内容。
- FCPATH 是CodeIgniter的常量，代表项目的根目录（通常是public文件夹的路径）。
- get_mime_by_extension() 是CodeIgniter的辅助函数，用于根据文件扩展名获取MIME类型。确保加载了file辅助函数：$this->load->helper('file'); 或在autoload.php中自动加载。
四、注意事项与最佳实践
- 文件存储位置： 最佳实践是将所有敏感文件（如日志、配置文件等）存储在Web服务器的根目录（public文件夹）之外。这样，即使.htaccess配置有误或Web服务器配置不当，这些文件也不会被直接访问到，从而大大降低安全风险。如果必须放在公共目录，请确保.htaccess和PHP代理策略严格执行。
- MIME类型： 确保正确设置Content-Type头，以便浏览器能够正确解析文件内容。对于未知类型，使用application/octet-stream。
- 缓存控制： 根据文件的性质，合理设置Cache-Control头。对于经常更新或敏感的文件，应限制缓存或禁用缓存。
- 错误处理： 当文件不存在或用户未登录时，提供友好的错误信息（如404 Not Found或403 Forbidden）。
- 性能考虑： 每次通过PHP代理读取文件都会产生额外的服务器开销。对于大量或频繁访问的文件，这可能会影响性能。权衡安全性和性能需求，考虑是否所有文件都需要这种严格的代理访问。
- 日志记录： 在代理方法中，可以添加日志记录，记录哪些用户尝试访问了哪些文件，以及访问结果（成功/失败），以便进行审计和安全分析。
- CodeIgniter版本： 上述示例基于CodeIgniter 3。对于CodeIgniter 4，概念类似，但具体的路由和控制器结构会有所不同。
五、总结
通过在CodeIgniter中结合使用.htaccess文件限制直接访问和PHP代理脚本进行身份验证，我们可以有效地保护公共文件夹内的敏感文件。这种方法确保了只有经过身份验证的用户才能访问特定资源，显著提升了应用程序的安全性。虽然将敏感文件移出Web根目录是更推荐的做法，但在无法实现的情况下，上述策略提供了一种可靠的解决方案。
