include-Ordner schützen?

[Truncate]

Hallo,

ich habe eine cms.php wo alle Datenbank-Angaben und Funktionen drin sind, die anderen Inhalte werde da mittels include eingebunden:

cms.php?id=home
cms.php?id=login
cms.php?id=register
...

home.php befindet sich im ordner "incs" und wird halt mit
include("incs/".$id); eingebunden.

Nun die Frage: Wie schütze ich mich davor, dass jemand
direkt domain.de/incs/home.php aufruft? Ich mein den
Ordner kennt keiner, aber ev. geben diese Dateien ja
ohne cms.php dann Fehler aus etc.

Mit .htaccess den Ordner schützen, Referer darf nur /cms.php sein?

[Quetschi]

Passwortshcutz per .htaccess reicht völlig - referrer brauchst gar ned - um die .htaccess kümmert sich ja nur der Webserver - PHP ist das wurscht und includiert die Datei trotzdem.

[Truncate]

Passwortschutz? Für den Ordner "php" oder was?

Könnte man nicht gleich eine .htaccess reinlegen die immer aufs Root umleitet? Denn Du sagst ja, dass PHP das sowieso nicht juckt was da drin liegt...

[Quetschi]

Original geschrieben von Truncate
Passwortschutz? Für den Ordner "php" oder was?

Dachte das was du schützen willst liegt im Ordner 'incs' ? warum willst jetzt den Ordner php ne .htaccess verpassen?

Original geschrieben von Truncate
Könnte man nicht gleich eine .htaccess reinlegen die immer aufs Root umleitet? Denn Du sagst ja, dass PHP das sowieso nicht juckt was da drin liegt...

Zuerst wolltest nen Passwortschutz - jetzt ne Umleitung... Probier doch beides aus und überleg dir was dir lieber ist...

[Truncate]

Naja eine Umleitung kommt sicherlich besser als dieses Passwort-Fenster... das animiert die Herren Scriptkiddies nur wieder rumzuspielen

Alternativ ginge es natürlich auch so:

- header.inc + footer.inc + funktionen.inc

Diese 3 Angaben werden in ALLE Dateien included
und die Daten normal aufgerufen: home.php, login.php, ...

Nur ich denk mir halt das ist nicht gerade sinnvoll
in JEDE Datei diese Includes reinzumachen...

[wahsaga]

Ich weiß nicht, warum in solchen Fällen immer wieder ein Passwortschutz erwähnt wird - ALLOW/DENY reichen doch vollkommen aus, und bringen beim Zugriffsversuch einen 403.

[Truncate]

Theoretisch reicht doch sogar das hier oder?

Redirect /incs http://www.domain.de/

[tStein]

Falls du an die Konfiguration des Webservers nicht rankommst oder htaccess nicht funktioniert (ist bei manchen Hostern so), kannst du auch in deine cms.php ein

define('in_cms', 1); 

und in die zu inkludierenden Dateien ein

if (!defined('in_cms')) die ('Nette Meldung'); 

einbauen.

Aber die Lösung über Apache wäre auf jeden Fall vorzuziehen.