在我的网站有PHP文件，我包括在其他的PHP文件…他们执行不同的任务，如连接到我的数据库和各种其他function…现在我知道我的文件给定的path..所以我可以给path喜欢
http://www.mysite.com/myfiles/
这将给该目录中的文件的目录列表..
我知道要避免目录列表，我将通过这样做，而不是目录列表放在文件名index.html或index.php
但我仍然知道文件的path.. http://www.mysite.com/myfiles/con.php通过这样做的代码执行，但你可以看到OFFCourse源，因为它是客户端..
但有没有办法获得该PHP文件及其源代码，当有人知道path…将是安全风险不是吗？
那么，首先，你应该能够禁用目录列表（因此不需要用无用的index.php文件来污染你的目录树），只需要在你的includes目录下的.htaccess文件中join下面一行：
Options -Indexes
现在，关于用户能够获得的PHP源代码，只要您的networking服务器设置正确的解释PHP文件，而不是直接服务他们，你应该没事（假设你的包含文件不echo()任何variables或愚蠢的东西）。
如果您为PHP文件定义了AddType或SetHandler，那么它将在提供给客户端之前由apache / webserver解释。 所以客户端不会看到的PHP源，但只有生成的HTML。
如果我正确地理解了你的话，你想知道PHP文件的实际URL的人的PHP源代码。 你可能会使用类似的东西，但记住：这不是真正的安全，所以最好不要包含这个包含私人东西，如DB用户/密码等PHP文件
<?php if($_GET['hash'] === "jV1V-7-VhS09K-_77GtEoOd86K2-ba-W") { show_source(__FILE__); } ?>
通过这种方式，只有知道“散列”（和邪恶的人蛮力）的人才可以通过访问http://example.org/myfiles/con.php?hash=jV1V-7-VhS09K-_77GtEoOd86K2-巴 – W。