Changes between Version 8 and Version 9 of TipAndDoc/network/httpd

Timestamp:

Oct 25, 2010 7:20:50 PM (15 years ago)

Author:

mitty

Comment:

--

TipAndDoc/network/httpd

@@ -109 +109 @@
      * 内部リバースプロキシなどに応用できる => #11
 
+ == ptifall on Satisfy any ==
+ * 「Satisfy any」における落とし穴
+ * 目標
+   1. 特定のIPからは、認証せず見られる
+   1. 特定のIP以外からは、認証後見られる
+   1. 特定のディレクトリ(URL)は、認証に関係なく見られない
+     * ディレクトリごとに細かく設定するため.htaccessで制御したい
+ * 例としては内部向けpukiwikiなど
+
+ === 標準的な設定 ===
+ * /etc/apache2/sites-enabled/some.vhost.conf
+{{{
+<Directory />
+        AllowOverride Limit
+        
+        Satisfy any
+        Order deny,allow
+        Deny from all
+        Allow from XX.YY.ZZ.XYZ
+        AuthType Digest
+        AuthName "Authorized"
+        AuthUserFile /path/to/.htdigest
+        Require valid-user
+</Directory>
+}}}
+
+ * /path/to/www/wikiplus/attach/.htaccess
+{{{
+Order allow,deny
+Deny from all
+}}}
+
+ === 問題点 ===
+ * 上位設定(この場合some.vhost.conf)で「Satisfy any」としているため、.htaccessにおいて「deny from all」に'''関係なく'''valid-userであればアクセスできてしまう。
+ * wget -S --spider --user username --password password !http://example.jp/www/wikiplus/attach/index.html
+{{{
+  HTTP/1.1 200 OK
+}}}
+
+ === solution ===
+ * some.vhost.conf
+{{{
+        AllowOverride Limit FileInfo AuthConfig
+}}}
+   * Satisfyを.htaccessで使うには「AuthConfig」が必要
+ * .htaccess
+{{{
+Order allow,deny
+Deny from all
+Satisfy all
+}}}
+
+ * 全ての.htaccessを書き換える必要がありスマートでないので、conf側だけで収まる設定を模索中
+
  = mod_proxy =
  * SSLProxyEngine