![我的 laravel .env 文件可通过 ip 访问下载!如何在 litespeed 服务器上解决这个问题?](https://linux22.com/image/773635/%E6%88%91%E7%9A%84%20laravel%20.env%20%E6%96%87%E4%BB%B6%E5%8F%AF%E9%80%9A%E8%BF%87%20ip%20%E8%AE%BF%E9%97%AE%E4%B8%8B%E8%BD%BD%EF%BC%81%E5%A6%82%E4%BD%95%E5%9C%A8%20litespeed%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E4%B8%8A%E8%A7%A3%E5%86%B3%E8%BF%99%E4%B8%AA%E9%97%AE%E9%A2%98%EF%BC%9F.png)
你好,我正在使用 Openlitespeed 服务器创建一个新的 laravel 项目,我发现了一个明显的安全问题。我已将以下规则添加到站点根目录的 .htaccess 中,当有人尝试通过以下方式下载 .env 文件时,它会正常工作并停止www.mywebsite.com/.env 但令我惊讶的是,可以通过访问服务器 IP 轻松下载 .env 文件,例如:127.0.0.1/.env
答案1
https://openlitespeed.org/kb/access-control/#articleTOC_4给出如何阻止文件访问的示例。
创建一个静态上下文,其中 URI 为/.env
,位置为$DOC_ROOT/.env
,并将其设置为No
Accessible。
但是,您的文档根目录应该是public
根据 Laravel 文档的文件夹,如果按照他们的建议进行操作,您甚至不必担心访问该.env
文件,因为它将位于 Web 服务器提供的路径的上一级。