Есть готовое приложение на PHP(личный кабинет), которое я встроил в свой сайт. Всё работает прекрасно, но все .php открыты, то есть любой желающий может по прямому адресу открыть исполняемый, например /admin.php. Сам сайт работает на Nginx + PHP7.0-fpm. Из условий только два сервера, которые работают в паре, обращаются друг к другу и обмениваются данными, если это необходимо.
Что только не пробовал уже.. И разные регулярки путей для Nginx, вариант с satisfy any со списком разрешённых ip, и вообще убрать секцию, всё время всё работает не так.
Проблема в том, что если секция выглядит так:
location / {
try_files $uri $uri/ /index.php?$uri&$args;
location ~ [^/]\.ph(p\d*|tml)$ {
try_files /does_not_exists @php;
}
}
location ^~ /webapp/* {
deny all;
}
location @php {
include fastcgi_params;
fastcgi_index index.php;
fastcgi_pass unix:/run/php/php7.0-fpm.sock;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}
То приложение нормально работает, все .php внутри папки /webapp/ выполняются, но доступ к ним открыт по прямой ссылке. А так же лог nginx заваливает ошибками, что пользователь не может получить изображение из /webapp/img/ хотя в самом приложении изображение показывается.. Если же изменить на что-то другое, то .php перестают выполняться, но сервер правильно отдаёт 403.
Секция nginx с которой я экспериментирую:
location /webapp/ {
satisfy any;
allow 1.1.1.1; # ip первого сервера
allow 2.2.2.2; # ip второго сервера
allow 127.0.0.1/8;
deny all;
autoindex off;
try_files $uri $uri/ /index.php?$uri&$args;
location ^~ /(img|icons)/ {
allow all;
}
}
Подскажите что я делаю неправильно и как добиться работающего приложения при закрытых файлах из вне.
try_files /does_not_exists @php;
нужные allow/deny и пишите? Или даже внутриlocation @php
(точно не уверен)