Omezení oprávnění Apache na Windows 10 pro C:/www/, direktiva open_basedir – ano/ne?

Nebude to nějakým jiným nastavením? Zkusil jsem hodit open_basedir = c:/www/ přímo do php.ini a žádná chyba (php 8). Nemám potlačené výpisy chyb.

Jinak co se týče umístění ini_set, tak to dej přímo do index.php ještě před načítání čehokoliv. V bootu nebo startupu už je pozdě.

Ahoj,

tak jsem dál testoval zda jak v reálných podmínkách na domácím pc s Windows použít open_basedir pro omezení práv PHP v jednom projektu právě na adresář tohoto projektu.

@MarekBartoš a @Pepino v diskusi radili použít open_basedir v php.ini. To vypadalo zajímavě – omezit všechny projekty na DocumentRoot celého serveru C:/www a uvnitř každého projektu dynamicky v index.php nebo Bootstrap.php dále omezit na podadresář projektu C:/www/path-to-project. PHP skripty by nemohly omylem smazat soubory v jiných projektech ani na zbytku PC a kdyby se v projektu na přidání kódu zapomnělo, byla by alespoň ochrana celého disku PC.

Toto by fungovalo bezvadně, kdybych nenarazil na problém, že pokud se nastaví open_basedir v php.ini, tak to omezí funkci composeru. Testoval jsem pouze composer show a s tímto výsledkem:

php.ini:
open_basedir = ‚C:/www‘

C:\www\dev\playweb>composer show

PHP Warning:  Unknown: open_basedir restriction in effect. File(C:\ProgramData\ComposerSetup\bin\composer.phar) is not within the allowed path(s): (C:\www) in Unknown on line 0
PHP Warning:  Phar::mapPhar(): open_basedir restriction in effect. File(C:\ProgramData\ComposerSetup\bin\composer.phar) is not within the allowed path(s): (C:\www) in C:\ProgramData\ComposerSetup\bin\composer.phar on line 28
PHP Warning:  require(phar://composer.phar/bin/composer): Failed to open stream: phar error: invalid url or non-existent phar "phar://composer.phar/bin/composer" in C:\ProgramData\ComposerSetup\bin\composer.phar on line 29
PHP Fatal error:  Uncaught Error: Failed opening required 'phar://composer.phar/bin/composer' (include_path='.;C:\php\pear') in C:\ProgramData\ComposerSetup\bin\composer.phar:29
Stack trace:
#0 {main}
  thrown in C:\ProgramData\ComposerSetup\bin\composer.phar on line 29

Tak povolíme také C:\ProgramData\ComposerSetup:

php.ini:
open_basedir = ‚C:/www;C:\ProgramData\ComposerSetup‘

C:\www\dev\playweb>composer show

PHP temp directory (C:\Users\milos\AppData\Local\Temp) does not exist or is not writable to Composer. Set sys_temp_dir in your php.ini

In JsonFile.php line 85:

  is_file(): open_basedir restriction in effect. File(C:/Users/milos/AppData/Roaming/Composer/config.json) is not within the allowed path(s): (C:\www;C:\ProgramData\ComposerSetup)

Dále povolíme C:\Users\milos\AppData\Local\Temp a C:/Users/milos/AppData/Roaming/Composer:

php.ini:
open_basedir = ‚C:/www;C:\ProgramData\ComposerSetup;C:\Users\milos\AppData\Local\Temp;C:/Users/milos/AppData/Roaming/Composer‘

C:\www\dev\playweb>composer show

In Factory.php line 200:

  file_exists(): open_basedir restriction in effect. File(C:/Users/milos/AppData/Local/Composer/.htaccess) is not within the allowed path(s): (C:\www;C:\ProgramData\ComposerSetup
  ;C:\Users\milos\AppData\Local\Temp;C:/Users/milos/AppData/Roaming/Composer)

Přidáme tedy ještě C:/Users/milos/AppData/Local/Composer:

php.ini:
open_basedir = ‚C:/www;C:\ProgramData\ComposerSetup;C:\Users\milos\AppData\Local\Temp;C:/Users/milos/AppData/Roaming/Composer;C:/Users/milos/AppData/Local/Composer‘

C:\www\dev\playweb>composer show

latte/latte   v2.11.5
.....

Takže composer show se sice podařilo rozchodit, ale nastalo podstatné snížení výkonu, stránky se rendrují nikoliv cca 100 ms, ale 600 ms.

Závěr:

Při standardní instalaci composeru nelze rozumným způsobem použít open_basedir v php.ini na omezení práv skriptů PHP k souborům v celém domácím Windows 10 PC. Rozumné je zůstat pouze u dynamického nastavení ini_set(‚open_basedir‘), které dle provedených testů zabrání dávkovému smazání souborů jiných Nette projektů, nebo celého disku domácího PC.

Kód jsem zatím vložil do Bootstrap.php, protože tam už mám větev pro lokální domácí stroj a protože mě šlo v podstatě hlavně o ochranu před vlastní chybou ve vlastním PHP kódu při mazání souborů, tak si myslím, že to takhle bude stačit.

Otestované řešení:

class Bootstrap
{
    public static function boot(): Configurator
    {
        $configurator = new Configurator;
        $appDir = dirname(__DIR__);

        .......
        .......

        $configurator->addConfig($appDir . '/config/common.neon');
        $configurator->addConfig($appDir . '/config/services.neon');

        if($_SERVER['HTTP_HOST'] === 'localhost'){
            $configurator->addConfig($appDir . '/config/local.neon');   // nastavení pro domácí (vývojový) server

                // povolena složka projektu + složka pro dočasné upload soubory
            ini_set('open_basedir', implode(';', [$appDir, ini_get('upload_tmp_dir')]));
        }

        return $configurator;
    }
}

Překvapivě jsem při testech zjistil, že session Nette nebylo restrikcemi open_basedir nijak na funkci omezeno, takže není potřeba adresář pro ukládání souborů session speciálně povolovat, Nette si to umí povolit samo.

Editoval m.brecher (13. 9. 2022 14:35)

@Pepino díky za komentář, mě stačí, když rozumným a jednoduchým způsobem ochráním svoje data na PC před mojí vlastní chybou při manipulaci se souborovým systémem.