Kann ich davon ausgehen, dass es bei jedem server möglich ist per phpscript auf htaccess geschützte Verzeichnisse zugreifen kann ohne passwort abfrage (bei meinem testserver funktionierts)

Wenn ich für meine htaccess Dateien den realen pfad nicht kenne, habe ich dann andere möglichkeiten verzeichnisse wirksam zu schützen? Oder kann ich den pfad irgendwie anzeigen lassen?

htaccess dateien haben mit dem ablauf deiner PHP scripts nichts zu tun.

Sie authorisieren nur den Zugriff von "außen" durch einen Browser usw

den Pfad kannst du dir mit PHPInfo() zusammenbasteln

Kann ich davon ausgehen, dass es bei jedem server möglich ist per phpscript auf htaccess geschützte Verzeichnisse zugreifen kann ohne passwort abfrage (bei meinem testserver funktionierts)

Wie oben gesagt hat htaccess nur für den WebServer eine Bedeutung. Nur die Anfragen, die über den WS reinkommen werden damit u.U. abgeblockt. Die PHPEngine läuft ja auf dem Server und da hängt es dann von den Benutzerrechten ab, die der Benutzer hat mit dessen Rechten PHP läuft.

Es ist ja auch sinnvoll, PHP-Include Dateien mit Passwörter o.ä. ausserhalb des DocumentRoots abzulegen. PHP erreicht die, aber der Surfer nicht.

Wenn ich für meine htaccess Dateien den realen pfad nicht kenne, habe ich dann andere möglichkeiten verzeichnisse wirksam zu schützen? Oder kann ich den pfad irgendwie anzeigen lassen?

Du kannst den Provider fragen. Wenn er dir htaccess anbietet, sagt er dir auch den Pfad, oder es gibt eine FAQ wo das steht.

noch ne ergänzende Frage:

Wie sicher ist htaccess? Kann man da alleine drauf vertrauen?

Hintergrund: Für Abschlussprojekt möchte ich php seiten erstellen mit denen man was administrieren kann. Die soll nicht jeder sehen können. Langts da wenn ich sage "die php dateien liegen in einem htaccess geschützten Bereich"?

Dann brauch nicht auch noch mit Passwörtern in php rumwerkeln.

Wenn der Webserver spinnt und der htaccess Schutz nicht mehr funktioniert, dann stehste aber dumm da.

Ich würde mir einen Passwortschutz mit Sessions in PHP bauen.

Frank

dann muss mich noch intensiver mit sessions beschäftigen und dann wird mein projekt immer größer und es tun sich immer mehr "Angriffsflächen" für die Prüfer auf.

Die leute im internet würden ja auch nicht wissen, dass in ordner xy auf dem webserver noch die dateien zx rummliegen. Nur der admin würde eine Verknüpfung auf die Dateien erhalten. Das ist ja auch ein leichter Schutz.