一、.htaccess简介$ }! E8 }/ m) N3 t
1.什么是.htaccess" e8 m- M) s0 o! {% o
.htaccess是一个纯文本文件,里面存放着Apache服务器配置相关的一些指令,它类似于Apache的站点配置文件,如httpd.conf(Apache2已经支持多站点,因此你的站点配置文件可能在/etc/apache2/conf.d/目录下)。1 j3 Q' M1 ^' p1 ]+ I
.htaccess与httpd.conf配置文件不同的是,它只作用于当前目录。另外httpd.conf是在Apache服务启动的时候就加载的,而.htaccess只有在用户访问目录时加载,开销大、速度慢。% W# t( Z, D1 d( i e j% ^ ^2 m
既然如此,为什么我们还要用.htaccess呢?因为它配置起来简单,它还支持重定向、URL重写以及访问验证,另外它管理起来很方便,可以很好适应网站迁移。总之,各有优缺点,主要就看你是要从全局考虑还是只配置单个目录。& b. ~! n& l! }! y% u. _' Y" j P
2.AllowOverride All. ]' u7 \1 j4 C7 \1 S! E' F+ f. U
通常情况下,Apache是默认启用.htaccess的,但是为了以防万一,请检查一下自己站点的配置文件,如httpd.conf,是否有这行:
1 t+ M; H' M* M& Q- W9 [这行允许重写配置文件。也就是如果能够从.htaccess加载配置文件,那么就以.htaccess为配置文件对其所在目录进行配置。
: G6 m0 P" C: ]: r) D3.500错误$ L4 H O5 E) @# j
如果你租用了云服务提供商的主机或者空间,那么他们可能不会给你读写httpd.conf文件的权限,你也不可能检查AllowOverride命令参数是否为All,这时,你可以新建一个目录,在里面写一个.htaccess文件,文件中随意写入一些服务器看不懂的东西,然后访问该目录里的一个页面,耐心等待500错误的出现。
0 X$ r0 f( j. D# V% E) l$ { 如果没有出现,那么.htaccess没有被启用,你需要向你的服务供应商寻求帮助;如果出现了,那么恭喜你,你可以对当前目录重写Apache配置。+ H- b U |/ \# \; S' Q
注意:.htaccess语法错误可能会影响整个站点,如果你不确定这样做是否安全,请联系你的云服务供应商。
: V( m7 y# R( c二、.htaccess访问控制(Allow/Deny)
1 t$ r8 P. S! t6 {. _2 R6 @" T" ^1.访问控制基础:Order命令
# r% z: L$ F. y T为了限制用户访问一些关键目录,.htaccess可以提供目录访问限制。你只需要在要限制的目录中,加入如下.htaccess文件:# E* L* K' b2 ?% \5 D# F% J
- # no one gets in here!1 D1 v' f8 ^! c5 K, o% Y' [
- deny from all
复制代码 这会限制所有用户通过浏览器访问该目录,这太一刀切了,因此我们还可以增加一些特定的条件,如允许指定IP地址的访问:6 M$ G& E3 [( l
- Order Allow,Deny
/ k9 z q% R& B% N# Z5 u - Deny from All
2 M+ [) I0 Y$ d9 U, {% N: B - Allow from 192.168.0.0/24 ) n6 y8 m, ?2 q( d* T# b! C$ P3 ?
复制代码 Order命令是一个难点,也是配置apache的基础,它决定了Apache处理访问规则的顺序。" N3 v9 G' O, J" o, d4 T' d* c2 D0 t
通过Allow,Deny参数,Apache首先找到并应用Allow命令,然后应用Deny命令,以阻止所有访问。9 o/ k0 a4 k, c [8 c
通过Deny,Allow参数,Apache首先找到并应用Deny命令,然后应用Allow命令,以允许所有访问。( g: E* A% s: P7 Z* p3 a. Z3 ]
了解Order的用法后,再仔细考虑下上面的例子,你或许能够发现Deny命令是多余的,以下用法和之前的描述语义相同:
) Z, M9 m5 ~2 \) w- Order Allow,Deny/ H5 L O1 V: [ O* Y6 R
- Allow from 192.168.0/24
复制代码 2.利用.htaccess过滤域名或网络主机(Allow/Deny)7 g! T9 [6 N/ N& n$ M3 r
下例可以限制所有含有“domain.com”的网络主机访问网站:
" ^, Q, E, c1 j1 ]* z- U0 P- Order Allow,Deny
/ L: G9 r% r7 ^, }/ Z - Allow from all$ ^! U* Z( W. Y) {' Q6 S
- Deny from .*domain\.com.*
复制代码 3.利用.htaccess禁止访问指定文件(Files)
9 ]; z; d- c' w+ v& D1 CFiles命令可以用于过滤指定文件:
+ J; U' q T) _& l7 x- # secure htaccess file. K8 T) J: H% n/ Z; d9 V9 D
- <Files .htaccess>+ H* C" J. h3 M9 Q( K
- order allow,deny# v' c8 p8 [/ Z/ |6 `
- deny from all
7 B1 ^% Q- i2 X4 T - </Files>
复制代码 4.利用.htaccess禁止访问指定文件类型(FilesMatch)
& O1 `* q$ w" D9 p# Y1 y) O: }下面的代码将限制访问所有.log和.exe文件:
7 P# f* W5 v8 h$ X" @+ y- <FilesMatch ".(log|exe)[ DISCUZ_CODE_629 ]quot;>7 P8 ?9 Z& P: V# A" o8 A3 W" C* l
- Order allow,deny
; {) E, z( h5 O( o/ a/ h) T - Deny from all
: u( m1 r8 W2 s0 |- l - </FilesMatch>
复制代码 我们还可以通过Files命令描述文件类型,但是需要在命令后面加一个波浪线(~),该符号启用Files命令的正则表达解析功能:
) x8 D4 N/ H' l* J6 _6 B1 {0 f- <Files ~ "^.*\.([Ll][Oo][Gg])|([eE][xX][eE])">
; D. O5 H4 Z' @( V q. L$ K - Order allow,deny
! ^! v% D) p$ F9 d! J+ j - Deny from all9 t3 J8 s( N$ f* i" t
- Satisfy All
: L! F( n! u1 |0 X - </Files>
复制代码 有以下几点需要读者注意:; @5 t9 W8 n9 ~5 }
Files之后的波浪线用于开启“正则表达式”分析。请注意,这是个过时的用法,Apache更推荐使用<FilesMatch>指令。0 {5 X5 b2 \4 f' b( L% }
正则表达式必须在双引号之间。5 t. N( B- S% C. ^7 X9 D$ r8 ]
双引号中的“管道符”(|)用于将两种文件类型(.log和.exe)分开,相当于逻辑“或”% L) d% V: B& [' _- Y4 D
Order命令必须嵌在Files节(Section)中,否则将会应用到所有文件
& k" d0 \. s* |6 A7 n% R Satisfy All表示必须同时满足主机级别(Allow/Denay)和用户级别(Require)的限制,All是默认值,该行可以省略。
* f4 ^! ~9 J S6 A) q三、利用.htaccess进行密码保护与验证
# h: Q' c4 t8 ]& L0 W$ M1.配置.htaccess. u( f3 E) g/ t6 _! }
- AuthType Basic
$ p! g5 r2 y2 E - AuthName "restricted area"3 h' P- E' d/ a/ _
- AuthUserFile /usr/local/var/www/html/.htpasses
5 s/ }6 ]0 H; [; }! b/ H& }% y; L - require valid-user
复制代码 这个配置文件可以保护.htaccess所在的整个目录,简单说明下参数:
" l3 c: K$ c5 ^! X9 V. [, s AuthType:验证类型为基本类型,密码以明文方式传输到服务器上
1 Y7 t6 W3 c/ K! j AuthName:验证提示,会出现在验证对话框中, P- ^& {: P# {6 }# E: Z9 F
AuthUserFile:验证配置文件,用于匹配用户名与密码,该密码是加密保存的. Q! S, @6 i- j
require valid-user:只有在AuthUserFile中出现的用户才可以通过验证
% o; w+ L; u# G1 x如果验证失败,则会出现401错误。
3 X- U0 L3 |$ e2.生成.htpasses文件3 ]2 `4 X4 I8 x4 f, Y
如何生成.htpasses文件呢?我们通过htpasswd命令生成密码文件:
& k M/ { n! m* a- A- htpasswd -c /usr/local/var/www/html/.htpasses lesca
复制代码 它会提示你输入密码,并确认。之后将密码文件.htpasses保存在/usr/local/var/www/html/目录下。( }# q# K8 @" j# g) Z- `! T' ^
3.对文件进行密码保护
, w2 Y, `5 r$ `0 O2 ]- a保护与.htaccess在同一目录下的文件secure.php:' M1 X J6 }5 i: K+ I: b
- # password-protect single file4 V* b6 f9 Y8 M1 c O8 ~' b0 A
- <Files secure.php>
3 ]" }8 x3 b( m9 s# u4 V - AuthType Basic/ H5 L/ Z g* @9 j
- AuthName "Prompt"
' {/ x b" v! W/ s3 h - AuthUserFile /home/path/.htpasswd6 H1 o2 \6 [5 u1 \9 e2 [# f1 y
- Require valid-user
. g8 y. G1 n7 j4 M X4 H$ W - </Files>
复制代码 保护.htaccess所在目录下的多个文件:1 }7 D- h3 Q% y5 a9 I$ [$ ]
- # password-protect multiple files
( q3 e. g e7 D! J* H5 Q' X - <FilesMatch "^(execute|index|secure|insanity|biscuit)*[ DISCUZ_CODE_634 ]quot;>7 n S% a; \0 f0 O
- AuthType basic) J! o' T8 e% l
- AuthName "Development"/ ~1 k9 d5 _( P+ w- ]
- AuthUserFile /home/path/.htpasswd
0 t, H( s- ?& [! r2 ~/ o - Require valid-user M, _; \% x% h' r. u, _( R b& w8 j4 u
- </FilesMatch>
复制代码 4.对指定IP进行密码保护
+ @- ^( c4 Q& o- \仅允许IP地址为88.88.88.88的主机直接访问该目录,其他IP需要验证。0 K; Z' M: c5 ]
- AuthType Basic6 m7 a3 U1 r, X& C) b. K% y- `5 N6 @& g
- AuthName "Personal"4 }3 |8 h# E9 Z
- AuthUserFile /home/path/.htpasswd
5 ~0 L8 y5 x7 v. f - Require valid-user- J$ }8 F" W; h: `* T* ^, d- y
- Allow from 88.88.88.88
5 Z9 j1 X6 Q' ?( t0 W5 x$ E - Satisfy Any
复制代码 5.安全性5 s( l1 h1 T7 _: \) J# K
出于安全考虑,将.htpasses文件存放在WEB目录树之外也许是个好方法,但是由于.htpasses是隐藏文件,而且Apache不会输出隐藏文件,因此可以满足基本的安全要求。这是通过在主配置文件中加入如下限制实现的: \: i9 n$ B% H; B0 D
- <Files ~ "^\.ht">* [8 @4 t3 X, }9 a- L8 s' x/ A8 P2 g
- Order allow,deny: r0 i( W! O! u4 i" {4 }
- Deny from all1 e K7 \1 E6 y i$ {
- Satisfy All
+ k. H {# R5 M6 h& q - </Files>
复制代码 一般而言,这是默认设置,用户无需手动添加。我们唯一需要担心的是密码在网络传输过程中是明文形式,这很容易被黑客破译。Coz提供了一个开源项目Pajamas可以在本地利用JS对密码进行MD5加密,有兴趣的读者可以前去研究一下。$ f2 \; {' g- F! l
四、目录浏览与主页' ~' _' I T. a( h( H/ P
1.启用目录浏览+ @* o. Q5 _, W t7 m/ V
- # enable directory browsing! T" C: r# `( t, C' R! z) Y7 S+ ~2 n
- Options All +Indexes
复制代码 2.禁用目录浏览
( j0 p! i9 o6 ?3 e- # disable directory browsing/ Y; w/ `" J4 g1 k8 ^& I b. J7 W
- Options All -Indexes
复制代码 我们还可以通过IndexIgnore指令来禁用目录浏览。 S' g6 l$ w& H. a5 W
- # prevent folder listing
6 W4 x4 _9 x, u( J9 U' V - IndexIgnore *
复制代码 通过IndexIgnore指令,我们可以禁止对指定类型的文件浏览:3 s1 ^% ~3 d- I1 m' \7 f
- # prevent display of select file types7 B6 q3 I: j) ~$ k, K
- IndexIgnore *.wmv *.mp4 *.avi *.etc *.rm *.rmvb *.exe *.mp3 *.mpeg *.mov *.asf *.navi *.3gp *.mkv *.flv *.f4v
复制代码 3.自定义目录浏览
5 ?+ M9 C0 G5 O6 j$ ~3 F, ~, d" I如果你希望Apache在展示你的WEB目录时看起来与众不同,那么你需要启用FancyIndexing选项:, O" B/ v8 w+ z# o5 V. U' ~
- <IfModule mod_autoindex.c>
7 U: g! T: f% J! k: T- I: C% } - IndexOptions FancyIndexing1 W# ^8 T% K. \0 p0 `
- </ifModule>
复制代码 通过这个选项,你可以实现自定义图标、添加文件类型描述、按日期排序等。
+ E- |8 a/ A! `0 k4.配置目录主页文件5 H6 `' r) p. i) S' t7 p. ]0 V
即使启用了目录浏览,Apache未必会展示该目录的内容,因为该目录可能存在像index.htm这样的默认主页文件。Apache会有限展示主页文件,我们可以通过.htaccess设置:+ E! @* F/ v: o
- DirectoryIndex index.html index.php index.htm
复制代码 5.配置错误页面# k$ A: m# ]4 }5 d' K5 V" ^
如果Apache遇到错误,就会输出错误页面。配置自定义的错误页面,也许可以挽留即将离开的用户。7 c0 H5 j4 H4 I
- # custom error documents. l5 j2 T! H1 V/ m! D, e9 [
- ErrorDocument 401 /err/401.php
7 c9 T. O1 N! i6 ?" P% b - ErrorDocument 403 /err/403.php
0 V( V" U- N7 _: [! }. m" w - ErrorDocument 404 /err/404.php7 u, I9 V/ P: A3 a" e
- ErrorDocument 500 /err/500.php
复制代码 |