应采用五种策略隐藏文件真实路径：一、反向代理屏蔽；二、url重写拦截；三、文件id映射；四、限制web目录可执行范围；五、cdn路径混淆。
如果用户直接通过URL访问服务器上的文件，可能暴露网站的物理路径结构，带来安全风险。以下是隐藏文件真实路径的安全防护策略：
一、使用反向代理屏蔽真实路径
通过Nginx或Apache等Web服务器配置反向代理，将外部请求的URL路径映射到内部非公开路径，使客户端无法获知后端文件的实际存储位置。
1、在Nginx配置文件中添加location块，例如：location /static/ { proxy_pass http://backend/files/; }
2、确保proxy_pass指向的后端地址不对外暴露IP和端口，且该地址仅允许来自本机的请求。
立即学习“前端免费学习笔记（深入）”；
3、重启Nginx服务使配置生效：systemctl restart nginx
二、启用URL重写规则
利用Web服务器的重写模块，将包含敏感路径关键词（如“/var/www/”、“/home/user/”）的请求统一拦截并重定向至无路径信息的虚拟路径。
1、在Apache的.htaccess文件中添加：RewriteRule ^files/(.*)$ /api/download?id=$1 [L]
2、确保mod_rewrite已启用，并将原始文件访问权限设为仅限本地脚本读取。
3、在后端脚本中通过唯一ID查表获取真实路径，禁止直接拼接用户输入构造文件路径。
三、采用文件ID映射机制
放弃基于文件系统路径的直连方式，改用数据库记录文件元信息，所有前端链接均使用加密或随机生成的短ID，真实路径仅在服务端内部解析。
1、上传文件时生成唯一标识符，例如：file_id = hash_hmac('sha256', $filename . time(), $secret_key)
2、将file_id与服务器绝对路径存入数据库，字段设置为不可被SQL注入影响的预处理参数绑定。
3、下载接口接收file_id后，从数据库查询对应路径，并验证该ID是否在有效期内及未被标记为删除。
四、限制Web目录可执行范围
通过调整Web服务器文档根目录与实际文件存储目录的分离关系，确保用户请求无法穿越到父级目录或系统敏感路径。
1、将网站根目录设为/var/www/html，而上传文件统一存放在/var/www/uploads，且uploads目录不在DocumentRoot下。
2、在Nginx中显式禁止对上传目录的直接GET访问：location ^~ /uploads/ { deny all; }
3、所有对/uploads/下的资源访问必须经过PHP或Node.js中间层，由脚本控制响应头、MIME类型及读取权限。
五、启用内容分发网络路径混淆
借助CDN服务提供的路径重写功能，在边缘节点将原始URL路径转换为不反映源站结构的格式，实现客户端侧路径不可逆混淆。
1、在CDN控制台配置路径重写规则，例如将/original/path/file.pdf → /v1/content/abc123
2、确保源站仅响应来自CDN回源IP段的请求，其他来源一律返回403。
3、CDN缓存策略中关闭源站路径透传选项，避免X-Origin-Path等响应头泄露真实路径。
