Sicheres PHP-Framework

[woodfighter]

Tach,

Authorization Basic schützt URLs, war schon immer so. Siehe auch PHP QSA

HTTP Basic Auth funktioniert nur über HTTP, wer hätte das bei dem Namen wohl gedacht; wenn jemand wie in deinem Beispiel geschrieben, ein Script mit einer Directory-Traversal-Lücke auf den Server stellt, greift dieses (i.A.) nicht über HTTP auf die Inhalte zu; mit der Funktionsweise von Basic Auth hat das allerdings nicht das geringste zu tun.

mfg
Woodfighter