PHP项目中src目录404错误的根源与安全解决方案-php教程-PHP中文网

PHP项目中src目录404错误的根源与安全解决方案

PHP项目出现“访问src目录返回404”本质是Web服务器（如Apache/Nginx）默认禁止对外暴露非Web根目录的敏感路径，src/、database/等目录不应被浏览器直接请求——正确做法是将Web根目录严格限定在public/，并通过服务端包含（include_once）安全调用逻辑文件。

php项目出现“访问src目录返回404”本质是web服务器（如apache/nginx）默认禁止对外暴露非web根目录的敏感路径，`src/`、`database/`等目录不应被浏览器直接请求——正确做法是将web根目录严格限定在`public/`，并通过服务端包含（`include_once`）安全调用逻辑文件。

你遇到的 404 The requested URL was not found on this server 错误，并非代码逻辑问题，而是Web服务器的安全设计机制在起作用：Apache（或Nginx）仅允许客户端直接访问其配置的 DocumentRoot（Apache）或 root（Nginx）目录下的文件；而你的 src/create.php 位于 Web 根目录之外，浏览器发起 GET /src/create.php 请求时，服务器根本不会执行该PHP文件，而是直接返回 404 —— 这是预期且必要的安全行为。

✅ 正确架构：`public/` 为唯一Web入口，`src/` 仅供服务端包含

你的目录结构本身合理（符合现代PHP项目分层规范），但表单 action 属性的写法存在根本性误解：

<!-- ❌ 错误：试图让浏览器直接访问 src/ 目录 -->

action="src/create.php" 表示：请浏览器向当前域名下 /src/create.php 这个URL发起HTTP POST请求。但Apache默认不提供对该路径的访问权限（除非你显式配置了别名或重写），因此必然404。

? 关键原则：src/、database/ 等目录绝不能被浏览器通过URL直接访问。它们只应在服务端通过 include、require 或路由转发等方式被调用。

✅ 正确解法：统一入口 + 后端路由处理

方案一：将表单提交至 `public/` 下的代理脚本（推荐初学者）

在 public/ 目录下新建 process.php（或复用 index.php 的处理逻辑）：

<!-- public/process.php -->
<?php // 仅在此处做统一入口校验和分发
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    http_response_code(405);
    exit('Method Not Allowed');
}

// 安全引入业务逻辑（此时 __DIR__ 指向 public/）
require_once __DIR__ . '/../src/create.php';
?>

修改表单 action 指向该公开入口：

<!-- public/index.php 中的表单 -->

✅ 优势：

符合Web服务器安全策略（所有请求均落在 public/ 内）；
避免暴露敏感目录路径；
易于添加CSRF防护、输入验证等统一中间件逻辑。

方案二：使用 `.htaccess` 重写（仅限Apache，需启用 `mod_rewrite`）

若坚持保留 action="create.php" 形式，可在 public/.htaccess 中添加：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

# public/.htaccess
RewriteEngine On
# 将对 create.php 的请求，内部转发到 src/create.php（不改变URL）
RewriteRule ^create\.php$ ../src/create.php [L]

⚠️ 注意：此方式需确保Apache配置允许 .htaccess 覆盖（AllowOverride All），且 src/ 目录不可被直接浏览（建议在 src/.htaccess 中添加 Deny from all）。

⚠️ 重要安全提醒（务必执行）

禁止 src/ 目录被Web访问：
在 src/.htaccess 中添加：
```
Deny from all
```
或在Nginx中配置：
```
location ^~ /src/ { deny all; }
```

修复 create.php 中的致命安全隐患：
当前SQL写法存在严重SQL注入风险（即使用了 mysqli_real_escape_string，也无法完全防御所有场景）：

// ❌ 危险：拼接SQL + 过时的转义方式
$sql = "INSERT INTO todolist.tasks (title, description) VALUES ('$taskTitle', '$taskDescription')";

✅ 应改为预处理语句（PDO或MySQLi）：

// public/process.php 中调用（示例：MySQLi面向对象）
$stmt = $conn->prepare("INSERT INTO todolist.tasks (title, description) VALUES (?, ?)");
$stmt->bind_param("ss", $taskTitle, $taskDescription);
$stmt->execute();

检查Apache DocumentRoot配置：
确保你的虚拟主机配置指向 public/ 目录，而非项目根目录：

# Apache httpd-vhosts.conf
<virtualhost>
    ServerName localhost
    DocumentRoot "C:/path/to/your/project/public"  <!-- ✅ 必须是 public/ -->
    <directory>
        AllowOverride All
        Require all granted
    </directory></virtualhost>

修改后重启Apache：httpd -k restart。