de.comp.lang.php.* FAQ

• Über...
• Allgemein
• Installation
• Konfiguration von PHP
• PHP Interpreter
  • Wie vergleicht sich PHP mit anderen bekannten Webentwicklungssystemen?
  • Wie vergleicht sich die Performance von PHP zu Perl?
  • Wie kann ich mein ASP-Programm in PHP übersetzen?
  • CGI PHP oder Modul?
  • Portable PHP-Scripte
  • Zeitgesteuerte PHP-Scripte und Shellscripte
  • Wie bette ich PHP in HTML ein? (Beispielprogramm)
  • Wie kann ich auf Umgebungsvariablen zugreifen?
  • Wie kann ich auf den HTTP-Request-Header zugreifen?
  • Gibt es noch mehr interessante Variablen im Environment?
  • Wie kann ich auf Kommandozeilen-Argumente zugreifen?
  • Wie kann ich einen Parameter von einer PHP-Seite an eine andere weitergeben?
  • Wie kann ich eine PHP-Präsentation auf CD brennen?
  • Werden meine PHP-Seiten von einer Suchmaschine indiziert?
  • Wie kann ein Besucher meiner Seite den PHP-Code im Browser sehen?
  • Wie kann ich die Ausgabe meines Scriptes in einen anderen Frame umlenken?
  • Wie kann ich mit PHP die Bildschirmauflösung des Browsers herausfinden?
• Datentypen
• Strings
• Regexps
• Arrays
• Objekte
• Formulare
• Sicherheit
• Dateien
• Datumsprobleme
• Mail mit PHP
• Datenbanken
• DB: MySQL
• DB: Oracle
• DB: Sybase
• DB: MSSQL
• DB: phpMyAdmin
• Grafik
• PDF
• CMS
• Codeschnipsel
• Standardscripte
• Guter Code
• Fehlermeldungen
• Sessions
• PEAR
• FAQ Lizenz
• PHP 3

5.15. Wie kann ein Besucher meiner Seite den PHP-Code im Browser sehen?

Antwort von Martin Jansen

Wenn der Webserver ordnungsgemäß konfiguriert ist und er PHP unterstützt, bekommt der Besucher der Seite den PHP-Code nicht zu sehen, da er vom Webserver geparst wird und nur der generierte HTML-Code an den Browser geschickt wird.

Folgende Szenarien sind jedoch denkbar, bei denen der Besucher den PHP-Code trotzdem zu sehen bekommt:

• Auf dem Webserver ist kein PHP-Parser installiert. In diesem Fall behandelt der Webserver den PHP-Code wie "normalen" HTML-Code und schickt ihn unbearbeitet (ergo ungeparst) an den Browser.

• Aufgrund einer Fehlfunktion des Webserver ist der PHP-Parser ausgefallen oder der Webserver benutzt ihn nicht mehr: In diesem Fall sieht der User ebenfalls den ungeparsten Source-Code im Browserfenster, da kein Parsing mehr stattfindet.

• Ein "böser Junge" verschafft sich per FTP Zugriff auf die Daten: Auch hier hat der User die Möglichkeit, den Source-Code einzusehen, da der PHP-Parser nur Dateien parst, die über den Webserver abgefragt werden. Andere Schnittstellen wie zum Beispiel FTP berücksichtigt er nicht.

• Ein User verschafft sich Zugriff auf den Webserver mit Telnet oder SSH: Auch hier kann er den PHP-Code ohne weiteres einsehen, indem er zum Beispiel cat irgendwas.php eingibt und der Inhalt der Datei irgendwas.php auf dem Bildschirm ausgegeben wird.

Siehe auch: Kann ich PHP-Dateien kompilieren und so vor Dritten schützen?

In jedem Fall ist es sinnvoll, Code mit Datenbankpassworten in einem Verzeichnis abzulegen, das nicht durch eine URL erreichbar ist oder das mit einer .htaccess-Datei gegen Zugriff gesichert ist. Dieser Code kann dann mit Hilfe von include() oder require() eingebunden werden. Siehe dazu auch den Abschnitt Wie kann ich mein Datenbankpasswort gegen Spionage sichern? dieser FAQ.