Question

php网站安全，网站跟目录下有很多个.php文件和.html文件，一般情况下不做处理用户可以随意访

php网站安全，网站跟目录下有很多个.php文件和.html文件，一般情况下不做处理用户可以随意访问任一个文件，例如任何一个人都可以这样来访问网站后台:www.shop.com/admin/delete.php。假如真存在这个重要文件的话那岂不是没有任何安全保障啊！一般情况下都是采取什么措施来阻止别人随意访问的呢？

Answer 1

把普通用户的session（$_SESSION['user']）和管理的session（$_SESSION['admin']）分开就可以了

Answer 2

session验证啊

追问

我想过这个，但已经登录的用户来随意访问的时候session一样不为空啊，这一样阻止不了呀！你具体说说看session如何实现

我想过这个，但已经登录的用户来随意访问的时候session一样不为空啊，这一样阻止不了呀！你具体说说看session如何实现

追答

分权限啊，session里如果检测到是普通用户，就exit

如果你是那种本来就普通用户可以操作的删除，只是不希望他敲入url去删除，而是必须在ajax下删除，可以检测一下refer

再严格一些可以在form提交的时候给form名称设一个以页面地址为key的md5之类的加密，js和php算法一致，php端验证一下。但其实没啥必要，因为用户可以看到，如果存心攻击，你也没办法，倒是可以避免误操作。

Answer 3

设密码

追问

这怎么设，你是所要登录吗

追答

嗯

网站是你的吗

追问

当然啊是我的，我正准备上线呢，但发现这简直没有任何安全防护啊

很显然谁都可以任意访问我根目录下的任一个文件

追答

那你把网站散了吧，在做一个，记得加密

或者修改

网站