From 0416504d6a00c99d176f96567f1841f172a05548 Mon Sep 17 00:00:00 2001
From: Clemens Creutzburg <creutzburg@ctb-it.de>
Date: Fri, 17 Jul 2026 11:41:24 +0200
Subject: [PATCH] .htaccess ergaenzen: interne Verzeichnisse/Configdateien
 nicht oeffentlich

Sperrt Direktzugriff auf var/ (Session-/Mail-Dateien), database/,
scripts/, docs/, app/, lib/ sowie env.local*.php, .sql und .md-Dateien.
Lokal beim PHP-Dev-Server ohne Wirkung (kein Apache), greift aber auf
echtem Apache-Webhosting.
---
 .htaccess | 36 ++++++++++++++++++++++++++++++++++++
 1 file changed, 36 insertions(+)
 create mode 100644 .htaccess

diff --git a/.htaccess b/.htaccess
new file mode 100644
index 0000000..cf03659
--- /dev/null
+++ b/.htaccess
@@ -0,0 +1,36 @@
+# Nur *.php im Webroot und assets/ sollen direkt aufrufbar sein. Interne
+# Verzeichnisse (Sessions, Mail-Logs, Migrationen, CLI-Skripte, Doku,
+# App-Bausteine, Legacy-DB-Shim) und Konfigurationsdateien mit
+# Zugangsdaten duerfen nicht direkt per URL abrufbar sein.
+
+<IfModule mod_authz_core.c>
+    <DirectoryMatch "^.*/(var|database|scripts|docs|app|lib)/">
+        Require all denied
+    </DirectoryMatch>
+</IfModule>
+<IfModule !mod_authz_core.c>
+    <DirectoryMatch "^.*/(var|database|scripts|docs|app|lib)/">
+        Order allow,deny
+        Deny from all
+    </DirectoryMatch>
+</IfModule>
+
+<FilesMatch "^(env\.local\.php|env\.local\.example\.php|\.env.*|composer\.(json|lock))$">
+    <IfModule mod_authz_core.c>
+        Require all denied
+    </IfModule>
+    <IfModule !mod_authz_core.c>
+        Order allow,deny
+        Deny from all
+    </IfModule>
+</FilesMatch>
+
+<FilesMatch "\.(sql|md)$">
+    <IfModule mod_authz_core.c>
+        Require all denied
+    </IfModule>
+    <IfModule !mod_authz_core.c>
+        Order allow,deny
+        Deny from all
+    </IfModule>
+</FilesMatch>