保护CodeIgniter公共目录文件免受未经授权访问

<IfModule mod_rewrite.c>
    RewriteEngine On
    # 阻止直接访问除 index.php 以外的所有文件
    # 这意味着只有通过 CodeIgniter 的 index.php 路由才能访问此目录下的内容
    RewriteRule ^(?!index\.php$).* - [F,L]
</IfModule>

# 如果您的服务器没有 mod_rewrite 模块，或者您希望使用更直接的方式：
# <Files *>
#   Order Deny,Allow
#   Deny From All
# </Files>
# <Files index.php>
#   Order Allow,Deny
#   Allow From All
# </Files>

// application/controllers/ProtectedFiles.php
<?php
defined('BASEPATH') OR exit('No direct script access allowed');

class ProtectedFiles extends CI_Controller {

    public function __construct() {
        parent::__construct();
        // 确保会话库已加载
        $this->load->library('session');
        // 在此处添加您的用户认证逻辑
        // 例如，检查用户是否已登录
        if (!$this->session->userdata('logged_in')) {
            // 如果用户未登录，重定向到登录页面或显示错误
            redirect('auth/login'); // 假设您有一个登录控制器和方法
            // 或者 show_error('您无权访问此文件。', 403);
            exit(); // 终止脚本执行
        }
    }

    /**
     * 服务受保护的日志文件
     * @param string $filename 日志文件名
     */
    public function viewLog($filename = null) {
        $this->_serveFile('logs', $filename);
    }

    /**
     * 服务受保护的代码文件（例如JavaScript）
     * @param string $filename 代码文件名
     */
    public function viewCode($filename = null) {
        $this->_serveFile('code', $filename);
    }

    /**
     * 内部方法：安全地读取并输出文件内容
     * @param string $folder 文件所在的子目录（例如 'logs', 'code'）
     * @param string $filename 要读取的文件名
     */
    private function _serveFile($folder, $filename) {
        if (empty($filename)) {
            show_404(); // 文件名为空，显示404
        }

        // 安全地构建文件路径
        // basename() 用于移除路径部分，防止路径遍历攻击（例如 ../../etc/passwd）
        $filename = basename($filename);
        // FCPATH 是 CodeIgniter 的前端控制器路径（通常是项目根目录或 public 目录）
        // 假设 public 文件夹在 CodeIgniter 项目的根目录下
        $filepath = FCPATH . 'public/' . $folder . '/' . $filename;

        // 检查文件是否存在且可读
        if (!file_exists($filepath) || !is_readable($filepath)) {
            show_404(); // 文件不存在或不可读，显示404
        }

        // 获取文件MIME类型
        // 确保 PHP 的 fileinfo 扩展已启用
        if (function_exists('mime_content_type')) {
            $mime_type = mime_content_type($filepath);
        } else {
            // 如果 fileinfo 不可用，尝试根据文件扩展名推断
            $extension = pathinfo($filename, PATHINFO_EXTENSION);
            switch ($extension) {
                case 'js': $mime_type = 'application/javascript'; break;
                case 'log':
                case 'txt': $mime_type = 'text/plain'; break;
                default: $mime_type = 'application/octet-stream'; break; // 默认通用二进制流
            }
        }

        // 设置HTTP头
        header('Content-Type: ' . $mime_type);
        header('Content-Length: ' . filesize($filepath));
        // 如果希望浏览器下载文件而不是在浏览器中显示，可以添加 Content-Disposition 头
        // header('Content-Disposition: attachment; filename="' . $filename . '"');
        header('X-Content-Type-Options: nosniff'); // 阻止MIME类型嗅探

        // 输出文件内容
        readfile($filepath);
        exit(); // 终止脚本执行，确保不会输出其他内容
    }
}

// application/config/routes.php

// 路由到查看日志文件的方法
$route['protectedfiles/log/(:any)'] = 'protectedFiles/viewLog/$1';

// 路由到查看代码文件的方法
$route['protectedfiles/code/(:any)'] = 'protectedFiles/viewCode/$1';

<!-- 在页面中显示一个链接，让用户点击查看日志 -->
<p><a href="<?= site_url('protectedfiles/log/detailed_logs') ?>">查看详细日志</a></p>

<!-- 在需要加载受保护的JavaScript文件时 -->
<script src="<?= site_url('protectedfiles/code/device.js') ?>"></script>