TP允许参数路径化,但这在安全检测时存在遇到巨大问题。因此希望有地方配置,禁止参数路径化,对于参数路径化的请求直接返回404。详细如下:
公司网站采用TP,请了第三方做安全检测,安全工具请求http://serverName/index.php/模块/控制器/操作/passwd.zip,返回了200成功标志,因此安全工具认可获取的passwd.zip文件,判定网站存在安全隐患。
这是重大误解,因此建议禁止参数路径化,只能这样访问
http://serverName/index.php/模块/控制器/操作?id=passwd.zip