Права доступа к папке 777 - как сделать безопаснее ?

закройте доступ ко всем файлам кроме файлов с указанным расширением

да такое практикуется, встречали

Закрыть доступ можно при помощи файла .htaccess помещенного в эту папку

Закинь в эту папку .htaccess с содержимым:

<FilesMatch "\.([Pp][Hh][Pp]|[Cc][Gg][Ii]|[Pp][Ll]|[Pp][Hh][Tt][Mm][Ll])\.?">

   Order allow,deny

   Deny from all

</FilesMatch>

Запрещает прямое обращение к PHP файлам, находящимся в этих папках, становятся бесполезными для зловреда.

А зачем закрывать? в вашем случае просто введенные пользователем данные вырезайте из них теги. В PHP функция strip_tags('test <script>alert();</script>');

Этого достаточно я думаю. Так как html и xml не исполняемые файлы и вряд ли как-то повредят вашему сайту.

Файл там появляется потому, что создает его вебсервер, а не пользователь.

Поэтому это:

совершенно неверно.

Права на запись достаточно иметь вебсерверу.

Всем остальным - права на чтение файлов и просмотр папки.

Права 777 врядли можно назвать безопасными при любом раскладе.

- Поставьте 755,

- Убедитесь, что владелец папки - вебсервер (или пользователь под которым он у вас работает)

- Фильтруйте пользовательский ввод (писали выше)

- Ограничте доступ к файлам (писали выше)

Что с этими файлами дальше происходит? Их любой может открыть по предоставленной ссылке или только автор, или никто?

Чтобы из нее никто не мог открыть файл из папки в публичном месте, в .htaccess надо написать Deny from all

Или сделайте так, чтобы эта папка не входила в папку сайта.

Друзья, у меня nginx.

Файлы которые генерируются должны быть доступны остальным пользователям по ссылке, т.е. закрыть права для всех я не могу.

Я боюсь что злоумышленник сможет записать в такую папку свой файл с вредоносным сценарием и запустить его (как запишет на сервер этот файл - другой вопрос, я думаю хакеру это подсилу).

Вынести сохраняемые файлы в отдельную папку и открыть права только на нее мне кажется хорошей идеей, но мне бы хотелось чтобы все сохраняемые файлы были доступны по адресу site.ru/page.html, а если они будут помещенны в отдельную папку, то адрес соответственно станет таким site.ru/folder/page.html т.е. в адресе появляется дополнительное звено, что не очень хорошо для восприятия и СЕО.

И потом я так понимаю что эта папка все равно будет уязвима и из нее можно запустить код который навредит всему сайту. Сайт защищен настолько, насколько защищено его самое слабое звено, я так понимаю самым слабым звеном окажется эта папка.

SeoNk, через .htaccess можно запретить выполнение любого php кода в этой папке

Это у вас паранойя. Если движок писал не идиот, ничего вредного записать в файл нельзя. Проверьте коды методов или попросите проверить тех кто понимает. Например сюда процитируйте важны кусок.

# nginx configuration

      location ~* ^/your_folder/.*.(htm|shtml|php)$ {

        types { }

        default_type text/plain;

}

[дабы не оверквотить - весь пост имею ввиду, а не только эту цитату]

Ты совершено прав, но один момент.. важный момент пропущенный тобой и сводящий на нет всю практическую правильность.

Скрипты, выполняемые в файлах - будут же выполняться от вебсеревера, а не от юзера. Отсюда - пофик какие там права у юзера на эти файлы.

Наиболее надёжная защита от выполнения скриптов в этих файлах - как сказал WebAlt - запрет выполнения пхп кода в них. Только ИМХО черезчур заумная директива. ИМХО достаточно просто не разрешать исполнение пхп в html, что дефолтно так и есть.

Для пущей безопасности можно внести эти хтмлки в отдельный каталог и запретить пхп в этом каталоге.