我将一些敏感数据存储在名为 的文件夹中/data/。此文件夹包含一些文件和一个子目录。
该子目录包含敏感数据的修改版本，具有相同的文件名。
因此，我有/data/file.exe和/data/modified/file.exe。我在文件中设置了一些规则，.htaccess以阻止从服务器外部对/data/文件夹的任何访问，但不阻止对的访问/data/modified/。
由于文件名相同，任何有权访问该文件夹的人都知道原始文件以相同的名称/data/modified/存在。/data/
现在的问题是，这安全吗？任何人都可以覆盖这些规则并访问这些文件而无需闯入服务器或修改文件.htaccess吗？我知道一旦你访问了服务器，你就可以做任何事情。
我在 Windows Server 2008 上使用 Apache Web 服务器 V.2.4，但可能会转移到 CentOS 上的 LiteSpeed。
附言：请告诉我这里是否不适合提问，以便我可以移动、编辑或删除它。谢谢。
答案1
这不是理想的设置，因为您的公共文件夹是受保护目录的子文件夹。因此，浏览 /data/modified 的每个人都知道父文件夹是被禁止的。有人试图检查 /data/modified/file.exe 是否也包含在 /data/file.exe 中并会命中，这只是时间问题。
我的建议是将您的文件夹结构分为：
/data_modified
/data_secure（您可能希望对该文件夹名称更有创意）。
现在没有人知道安全文件夹的新名称，因此他们不知道在哪里寻找您的敏感数据，因为您不再泄露文件夹名称。
除此之外，如果您使用 .htaccess 禁止访问目录，从安全角度来看，这样做是可行的，如果没有未经授权的服务器访问，您的数据就不可能被访问。
但是，如果您使用它通过用户名/密码提供访问权限，则应格外小心。如果您不使用 HTTPS，则用户名/密码对很可能通过网络以纯文本形式进行协商。
你可能还想看看这个帖子如果您提供用户/密码访问，如何保护 .htaccess 的安全。