# Bilder Upload Script: Upload-Ordner. Hier liegen nur Inhalte, niemals
# Programmcode. Jede Skriptausführung ist deshalb abgeschaltet.

# Zugriff auf Dateien mit Skript-Endungen verweigern
<FilesMatch "(?i)\.(php\d*|phtml?|pht|phar|phps|cgi|pl|py|asp|aspx|sh)$">
    <IfModule mod_authz_core.c>
        Require all denied
    </IfModule>
    <IfModule !mod_authz_core.c>
        Order deny,allow
        Deny from all
    </IfModule>
</FilesMatch>

# PHP in diesem Ordner abschalten (nur wenn PHP als Apache-Modul läuft)
<IfModule php_module>
    php_flag engine off
</IfModule>
<IfModule mod_php.c>
    php_flag engine off
</IfModule>
<IfModule mod_php7.c>
    php_flag engine off
</IfModule>

# Zuordnungen für Skript-Endungen entfernen
RemoveHandler .php .phtml .pht .phar .phps .cgi .pl .py
RemoveType .php .phtml .pht .phar .phps

# Browser sollen den Dateityp nicht erraten (eine Textdatei bleibt Text), und
# eine Datei, die doch als Webseite geöffnet wird, darf keine Skripte ausführen.
<IfModule mod_headers.c>
    Header set X-Content-Type-Options "nosniff"
    Header set Content-Security-Policy "sandbox"
</IfModule>
