htmlディレクトリ以下でのPHPの実行を抑制

[nanasess]

概要(Overview・Refs Issue)

Fixes #5064
html ディレクトリ以下では PHP を実行できないよう修正

方針(Policy)

• Apache mod_phpで動作する
  • Apache event MPM + php-fpm でも動作する
• .htaccess で設定する
• AddType 及び AddHandler, SetHandler いずれの設定がされていても無効化される

実装に関する補足(Appendix)

• nginx には未対応

テスト（Test)

以下の環境で、 html 以下の PHP ファイルが実行されないのを確認

• Apache mod_php(Docker 環境)
• Apache event MPM + php-fpm

相談（Discussion）

マイナーバージョン互換性保持のための制限事項チェックリスト

• 既存機能の仕様変更
• フックポイントの呼び出しタイミングの変更
• フックポイントのパラメータの削除・データ型の変更
• twigファイルに渡しているパラメータの削除・データ型の変更
• Serviceクラスの公開関数の、引数の削除・データ型の変更
• 入出力ファイル(CSVなど)のフォーマット変更

レビュワー確認項目

• 動作確認
• コードレビュー
• E2E/Unit テスト確認(テストの追加・変更が必要かどうか)
• 互換性が保持されているか
• セキュリティ上の問題がないか

[okazy]

現状で PHP ファイルが実行されないが、text ファイルとして扱われるためソースコードが見えてしまう状態となる。

[okazy]

vendor配下と同じ制御をすることで、phpファイルの露出を防ぐ。

ec-cube/.htaccess

Lines 8 to 13 in 45c5720

	<FilesMatch "(?<!\.gif|\.png|\.jpg|\.jpeg|\.css|\.ico|\.js|\.svg|\.map)$">
	SetEnvIf Request_URI "/vendor/" deny_dir
	Order allow,deny
	Deny from env=deny_dir
	Allow from all
	</FilesMatch>

許可する拡張子については精査が必要（html/pdfなど）

[matsuoshi]

vendor配下と同じ制御をすることで、phpファイルの露出を防ぐ。

ホワイトリスト形式は副作用・影響範囲が大きそうなため、いったん拡張子 .php のみを対象に 403になるようにしています

[chihiro-adachi]

ユニットテストがおちていますが、既知の問題のためマージします。

[chihiro-adachi]

@nanasess @matsuoshi
ありがとうございます、マージしました