噩梦般的安全隐患：PHP文件暴露在Web根目录
作为一名Drupal开发者，我们都知道Drupal项目的核心、模块和主题中包含了大量的PHP文件。在传统的部署模式下，这些文件通常直接位于Web服务器的根目录（通常是web或docroot）。这在大多数情况下运行良好，但却埋下了一个巨大的安全隐患。
想象一下这样的场景：某个贡献模块被发现存在远程代码执行漏洞（例如，历史上著名的SA-CONTRIB-2016-039 Coder模块漏洞）。如果攻击者能够通过某种方式直接访问并执行这些位于Web根目录下的PHP文件，那么你的网站将面临巨大的风险。即使Web服务器配置得当，理论上不会直接解析模块或主题目录下的PHP文件，但任何细微的配置错误、或者未知的零日漏洞，都可能将这些“后门”暴露给攻击者。
手动解决这个问题异常困难。你不能简单地将所有PHP文件剪切粘贴到Web根目录之外，因为Drupal的核心、模块和主题需要特定的目录结构才能正常工作。而且，对于使用Composer管理的Drupal项目来说，每次composer update或install都可能覆盖你的手动更改，让你的努力付诸东流。这不仅增加了部署的复杂性，也让开发者在每次更新后都提心吊胆。
救星登场：drupal-composer/drupal-paranoia
正当我对这种安全隐患感到束手无策时，我发现了drupal-composer/drupal-paranoia这个Composer插件。它的名字“Paranoia”（偏执）就暗示了其核心理念：以极高的安全标准，将所有PHP文件彻底移出Web根目录，从而最大限度地降低被攻击的风险。
立即学习“PHP免费学习笔记（深入）”；
这个插件的核心思想非常巧妙：它将你的Drupal项目实际的安装目录（包含所有PHP文件）放在一个非Web可访问的目录（例如app），而Web服务器的根目录（例如web）则只包含极少数必要的PHP启动文件（如index.php、install.php的存根文件）以及所有静态资源（CSS、JS、图片等）的符号链接。这样一来，Web服务器就无法直接访问并执行那些敏感的PHP文件了。
如何使用 drupal-composer/drupal-paranoia
使用这个插件非常简单，但需要遵循几个关键步骤：
1. 准备你的Drupal项目
首先，确保你的Drupal项目是基于drupal-composer/drupal-project这样的Composer模板构建的。
2. 调整目录结构
将你当前的Web根目录（通常是web）重命名为app。这个app目录将成为Drupal的完整安装目录，但它不会直接被Web服务器访问。
cd your-drupal-project-root mv web app
3. 更新 composer.json 配置
在你的项目根目录的composer.json文件中，找到extra部分，并添加或修改以下配置：
{
"extra": {
"drupal-paranoia": {
"app-dir": "app", // 你的Drupal实际安装目录
"web-dir": "web" // 新的Web根目录，将只包含符号链接和存根文件
},
"installer-paths": {
"app/core": ["type:drupal-core"],
"app/libraries/{$name}": ["type:drupal-library"],
"app/modules/contrib/{$name}": ["type:drupal-module"],
"app/profiles/contrib/{$name}": ["type:drupal-profile"],
"app/themes/contrib/{$name}": ["type:drupal-theme"],
"drush/contrib/{$name}": ["type:drupal-drush"]
}
}
}这里我们定义了：
-
app-dir：Drupal的完整安装路径。 -
web-dir：Web服务器将指向的新的Web根目录。 -
installer-paths：确保Composer将所有Drupal相关的包安装到app目录下的正确位置。
4. 安装 drupal-composer/drupal-paranoia 插件
现在，通过Composer安装这个插件：
composer require drupal-composer/drupal-paranoia:~1
执行完这条命令后，drupal-paranoia插件会自动运行。它会：
- 创建新的
web目录。 - 将
app目录中的所有静态资源（CSS, JS, 图片等）以及必要的Drupal启动PHP文件（如index.php）以符号链接的形式复制到web目录。 - 所有核心、模块、主题的PHP文件将保持在
app目录中，不会出现在web目录。
5. 配置静态资源和排除路径 (可选但推荐)
-
自定义静态文件类型: 插件默认会识别常见的静态文件类型进行符号链接。如果你有其他需要暴露的静态文件类型，可以在
composer.json的extra.drupal-paranoia下添加asset-files数组："extra": { "drupal-paranoia": { "asset-files": [ "somefile.txt", "*.md" ] } } -
排除特定路径: 出于安全考虑，你可能不希望某些PHP存根文件（例如
core/install.php）出现在web目录中。你可以在excludes数组中指定它们："extra": { "drupal-paranoia": { "excludes": [ "core/install.php", "sites/simpletest" ] } }注意: 强烈建议将
install.php排除，以避免潜在的信息泄露或攻击风险。
6. 修改Web服务器配置
最后，也是最关键的一步，你需要将你的Web服务器（如Nginx或Apache）的文档根目录（Document Root）指向新创建的/web目录，而不是原来的/app目录。
7. 本地开发与维护
在本地开发时，每次通过composer require或composer update安装或更新Drupal包后，/web目录都会自动重建。如果你在主题开发中添加了新的CSS或JS文件，可能需要手动运行以下命令来重建符号链接：
composer drupal:paranoia
优势与实际应用效果
使用drupal-composer/drupal-paranoia插件为Drupal项目带来了多重显著优势：
- 大幅提升安全性：这是最核心的优势。所有包含业务逻辑的PHP文件都移出了Web根目录，Web服务器无法直接访问它们。即使Web服务器配置出现漏洞，或者某些静态文件类型被错误地解析为PHP，攻击者也无法直接执行核心、模块或主题中的PHP代码，大大降低了远程代码执行的风险。
- 简化安全管理：一旦配置完成，Composer会自动处理文件移动和符号链接的创建，开发者无需手动干预，降低了人为错误的可能性。
-
清晰的职责分离：
app目录专注于存储应用逻辑，而web目录则只负责提供公开可访问的资源。这种分离使得项目结构更加清晰，易于理解和维护。 -
符合安全最佳实践：将应用逻辑与Web根目录分离是业界公认的安全最佳实践之一，
drupal-paranoia让Drupal项目也能轻松实现这一点。 - 增强开发者的信心：知道你的Drupal网站拥有更强大的安全防护，开发者可以更专注于业务功能的实现，减少对底层安全问题的担忧。
通过drupal-composer/drupal-paranoia，我彻底解决了Drupal项目PHP文件暴露在Web根目录的安全隐患。它不仅仅是一个Composer插件，更是Drupal网站安全防护体系中的一道坚固屏障，为我的项目带来了实实在在的安心与高效。如果你也正在为Drupal网站的安全性担忧，那么这个插件绝对值得你尝试！
