如何安全地允许Web用户创建文件？

Question

我正在建立一个允许某些用户撰写评论的网站，我希望他们能够自动生成一个小的php文件。设置帐户/组/文件权限以允许此操作的最安全方法是什么？理想情况下，我希望评论作者能够在出错时更改标题，这将要求php不仅能够创建文件和文件夹，还能移动和/或删除它们。但是，这不是绝对必要的。我的测试服务器正在运行Linux / Apache，这是所有内容的最新版本，出于测试目的，我暂时将主评论文件夹的所有者设置为服务器。我也对如何实现这一点的其他建议持开放态度。我不是一个真正的IT人员，但我可以编写shell脚本。

编辑：

由于选择了答案，我能够找到解决方案。我使用了这个指南（http://www.seomoz.org/ugc/using-mod-rewrite-to-convert-dynamic-urls-to-seo-friendly-urls），并将其修改为只加载了没有变量的所需php脚本，我设计为使用$_SERVER['REQUEST_URI']直接从原始URL检索信息。这是我的.htaccess文件的样子;它会将www.domain.com/reviews/the-review-filepath.php发送给www.domain.com/reviews/review.php。

RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule !^review\.php$ review.php

我这样做更容易，因为我比正则表达式更多地关于PHP。 感谢所有回答和/或评论的人。这比我之前试图做的要好得多。

Answer 1

延伸评论：

如果你想得到一个“干净”的网址（例如/post/123/comment/456）而不是“参数化”的网址（例如/?post=123&comment=456），你仍然可以使用数据库，并利用{{3} （因为你标记了mod_rewrite）。