安全性：在服务器上命名难以猜测的文件夹是一种很好的做法吗？

Question

安全问题：在服务器上用难以猜测的名字命名文件夹（8个符号，而不是简单的“admin”或“services”）是否是一种好的做法？我询问的文件夹不仅包含图标或.js文件或.css文件，还包含.php文件，并受到.htaccess文件（全部拒绝）的保护。

Answer 1

不可以。通过默默无闻的安全性不是。

加上它真的惹恼通过shell，FTP使用机器人等

会防备什么？无论名称如何，文件夹访问都应由机器和/或网络的正常安全机制来处理。如果他们过去了，那么你的工件被命名为– Ur PwNeD并不重要。

Answer 2

这是security through obscurity。尽管这样做并没有什么坏处，但在安全性方面，它并不会给什么。

Answer 3

好的做法是将PHP文件保存在Web服务器的文档根目录之外。例如，如果你的文档根目录为/ var/www，然后你可能有只是一个单一的index.php文件，以及所有文件确实是启动您的应用程序：

set_include_path('/something/besides/var/www'); 
require_once 'foo.php'; 
require_once 'bar.php'; 
do_something(); 

这样一来，您的Web服务器没有按”即使知道PHP文件存在，即使您有意外地错误配置了.htaccess，也无法提供这些文件。