当 Node.js 应用部署在共享主机（如 cPanel）的 Web 目录下时，Apache/Nginx 会直接响应对 public/ 或 protected/ 中静态文件的请求，完全绕过 Express 路由和中间件——导致未授权用户可直连 protected/index.html，使身份验证形同虚设。
当 node.js 应用部署在共享主机（如 cpanel）的 web 目录下时，apache/nginx 会直接响应对 `public/` 或 `protected/` 中静态文件的请求，完全绕过 express 路由和中间件——导致未授权用户可直连 `protected/index.html`，使身份验证形同虚设。
这个问题的本质并非 Express 配置错误，而是HTTP 请求未进入 Node.js 进程。在典型 cPanel 环境中，Web 服务器（如 Apache）以文件系统路径为优先级直接提供静态资源：只要 public_html/nrjs/protected/index.html 物理存在，用户访问 https://domain.tld/nrjs/protected/index.html 就会由 Apache 直接返回该文件，根本不会转发到你的 Node.js 应用（端口 3000），因此 checkAuthenticated 中间件、会话校验、甚至所有 app.get() 路由均不生效。
✅ 正确的防护思路是：切断静态文件的“裸路径”可访问性，强制所有受保护内容必须经由 Express 动态处理。
✅ 推荐解决方案：移除静态托管，改用 res.sendFile() + 认证中间件
删除
protected/文件夹的公开暴露风险
不再使用express.static()挂载protected目录，避免其路径被 Web 服务器直接解析。-
将受保护页面移至应用根目录（非 Web 可达路径）
将protected/index.html移动到与app.js同级的views/目录下（例如./views/index.html），确保该路径不在public_html内部，无法被 Apache 直接访问：nrjs/ ├── app.js ├── views/ │ └── index.html # ✅ 安全：仅 Node.js 可读取 ├── public/ │ └── login.html # ✅ 公开：仍通过 express.static 提供 └── ...
-
替换重定向为受控文件发送
修改登录成功逻辑，不再重定向到/nrjs/index.html（该路径易被猜测且依赖静态托管），而是重定向到一个受保护的 Express 路由，并在该路由中动态发送 HTML：// ✅ 替换原 res.redirect(basePath + '/index.html') res.redirect(basePath + '/home');
-
定义受保护的路由并强制认证
添加显式路由，结合checkAuthenticated中间件，使用res.sendFile()安全返回 HTML：// 移除这一行（危险！会暴露 protected/ 目录） // app.use(basePath, checkAuthenticated, express.static(path.join(__dirname, 'protected'))); // ✅ 替换为受控路由 app.get(basePath + '/home', checkAuthenticated, (req, res) => { res.sendFile(path.join(__dirname, 'views', 'index.html')); }); -
（可选）禁用对
protected/的直接访问（双重保险）
若因历史原因必须保留protected/目录结构，可在项目根目录添加.htaccess（Apache）阻止外部访问：# .htaccess inside nrjs/ directory <Directory "protected"> Require all denied </Directory>⚠️ 注意：此方法依赖 Apache 配置支持，且在 cPanel 中可能需启用
AllowOverride All；首选仍是逻辑层隔离（方案1–4）。
? 为什么其他尝试失败？
-
app.get('/nrjs/protected/*')无效：该路由只捕获 Express 处理的请求，而https://domain.tld/nrjs/protected/index.html由 Apache 直接响应，从未到达 Express。 -
.htaccess导致 503：通常因规则冲突或权限配置错误，而非方案本身不可行；但依赖 Web 服务器规则会降低可移植性。 - 全局
app.use((req, res) => ...)无效：同样，该中间件仅对 Express 接管的请求生效。
✅ 最佳实践总结
| 项目 | 不安全做法 | 安全替代方案 |
|---|---|---|
| 受保护资源位置 | 存于 public_html/nrjs/protected/
|
存于 ./views/（Node.js 内部路径） |
| 资源分发方式 | express.static('./protected') |
res.sendFile('./views/index.html') |
| 前端入口 | 直接访问 /nrjs/protected/index.html
|
统一走 /nrjs/home（受中间件保护） |
| 部署建议 | Node.js 应用放在 public_html/ 下 |
✅ 应用移出 Web 根目录（如 ~/nodeapps/nrjs/），仅通过反向代理暴露 /nrjs 路径 |
通过以上调整，index.html 将彻底脱离 Web 服务器的直接服务能力，每次访问都必须经过 Express 的会话校验流程，从根本上杜绝绕过认证的风险。
