一、.htaccess简介# |% Z- C5 _* w; I
1.什么是.htaccess Y# T7 Y) n9 r$ }
.htaccess是一个纯文本文件,里面存放着Apache服务器配置相关的一些指令,它类似于Apache的站点配置文件,如httpd.conf(Apache2已经支持多站点,因此你的站点配置文件可能在/etc/apache2/conf.d/目录下)。
1 K( B1 g4 Z, D) d .htaccess与httpd.conf配置文件不同的是,它只作用于当前目录。另外httpd.conf是在Apache服务启动的时候就加载的,而.htaccess只有在用户访问目录时加载,开销大、速度慢。5 W! L" T1 F5 X' Z5 N0 U. Q2 B
既然如此,为什么我们还要用.htaccess呢?因为它配置起来简单,它还支持重定向、URL重写以及访问验证,另外它管理起来很方便,可以很好适应网站迁移。总之,各有优缺点,主要就看你是要从全局考虑还是只配置单个目录。+ t* i3 L; @5 U0 c- [+ H$ N- b
2.AllowOverride All4 P- x4 g# e- B. v
通常情况下,Apache是默认启用.htaccess的,但是为了以防万一,请检查一下自己站点的配置文件,如httpd.conf,是否有这行:: y9 X$ ^' H7 @
这行允许重写配置文件。也就是如果能够从.htaccess加载配置文件,那么就以.htaccess为配置文件对其所在目录进行配置。
1 l, K% E; p$ v3.500错误
( g7 S$ q3 G6 x) S+ U 如果你租用了云服务提供商的主机或者空间,那么他们可能不会给你读写httpd.conf文件的权限,你也不可能检查AllowOverride命令参数是否为All,这时,你可以新建一个目录,在里面写一个.htaccess文件,文件中随意写入一些服务器看不懂的东西,然后访问该目录里的一个页面,耐心等待500错误的出现。
2 }0 r k. X6 B 如果没有出现,那么.htaccess没有被启用,你需要向你的服务供应商寻求帮助;如果出现了,那么恭喜你,你可以对当前目录重写Apache配置。
* X- U; Q" i" X& J8 g注意:.htaccess语法错误可能会影响整个站点,如果你不确定这样做是否安全,请联系你的云服务供应商。
* \' `6 R$ I6 l: D! R二、.htaccess访问控制(Allow/Deny)
$ K; N4 p, h$ A$ R* V! v4 Q1.访问控制基础:Order命令 w/ V, x q8 x0 u7 S7 v1 z& u. R
为了限制用户访问一些关键目录,.htaccess可以提供目录访问限制。你只需要在要限制的目录中,加入如下.htaccess文件:4 E) }' O( f/ t& x
- # no one gets in here!
. G( f/ `2 F! q) n - deny from all
复制代码 这会限制所有用户通过浏览器访问该目录,这太一刀切了,因此我们还可以增加一些特定的条件,如允许指定IP地址的访问:
) N! y6 i8 j a3 w2 T' ?- Order Allow,Deny
, @- Q* y: H4 S# W! v q A1 l - Deny from All4 q$ h8 V4 E/ M# u Q/ r
- Allow from 192.168.0.0/24 * F: B$ g! g- \
复制代码 Order命令是一个难点,也是配置apache的基础,它决定了Apache处理访问规则的顺序。
5 Q+ n, q" C. R$ b; \6 z8 y 通过Allow,Deny参数,Apache首先找到并应用Allow命令,然后应用Deny命令,以阻止所有访问。, _% X# f( X2 h1 G. l( M
通过Deny,Allow参数,Apache首先找到并应用Deny命令,然后应用Allow命令,以允许所有访问。0 ~/ ?3 @+ N2 k5 T
了解Order的用法后,再仔细考虑下上面的例子,你或许能够发现Deny命令是多余的,以下用法和之前的描述语义相同:
% b5 h6 Y5 @ w% p j0 i- Order Allow,Deny, \1 _* V% E) ~/ A ]1 v+ Z
- Allow from 192.168.0/24
复制代码 2.利用.htaccess过滤域名或网络主机(Allow/Deny)
0 v. E6 ~8 N) M2 X: L+ T9 U下例可以限制所有含有“domain.com”的网络主机访问网站:
9 j- I/ [5 ^: d$ O, `9 M5 E/ [- Order Allow,Deny
! ?" L+ n4 I; n+ P- o+ v - Allow from all
2 j% b! X5 f$ q% v4 L# l5 o9 l - Deny from .*domain\.com.*
复制代码 3.利用.htaccess禁止访问指定文件(Files)2 o: N6 v- u7 u6 G
Files命令可以用于过滤指定文件:
+ x% [; t" \2 L% ~& |# T2 E- # secure htaccess file% {: g" J; m2 M
- <Files .htaccess>2 L9 v. D) \+ s# T. ^6 i& I
- order allow,deny
4 N" k+ I. s E% s8 _8 v, k - deny from all) o! w' s: d: K! _% Y/ d; q! t, _
- </Files>
复制代码 4.利用.htaccess禁止访问指定文件类型(FilesMatch)
* x' Q% ]5 q9 n下面的代码将限制访问所有.log和.exe文件:. R( U. A, o5 u$ u% Y% t
- <FilesMatch ".(log|exe)[ DISCUZ_CODE_629 ]quot;>
! X4 p" |1 w3 f$ N1 X( K - Order allow,deny$ {+ H8 T' p) N7 h+ G8 ?$ P
- Deny from all
7 [( M; K3 q1 `( m- O - </FilesMatch>
复制代码 我们还可以通过Files命令描述文件类型,但是需要在命令后面加一个波浪线(~),该符号启用Files命令的正则表达解析功能:
# L' Z: H* B# U4 ^) `- <Files ~ "^.*\.([Ll][Oo][Gg])|([eE][xX][eE])">
7 M2 V5 C' q+ K7 ~/ O! } - Order allow,deny' H4 I# X/ t' g% M
- Deny from all
/ D% T4 e4 Y* Q) Q - Satisfy All
1 N# j# Y; d6 e& a3 ~& C - </Files>
复制代码 有以下几点需要读者注意:
. j6 `5 R' y+ c) A Files之后的波浪线用于开启“正则表达式”分析。请注意,这是个过时的用法,Apache更推荐使用<FilesMatch>指令。6 z# n) f1 ?! A7 B3 j+ _% q( u' i$ f
正则表达式必须在双引号之间。/ a3 ~1 g9 b" {/ o
双引号中的“管道符”(|)用于将两种文件类型(.log和.exe)分开,相当于逻辑“或”
2 d0 w ?7 M8 m( _7 k/ \1 E Order命令必须嵌在Files节(Section)中,否则将会应用到所有文件! }" W7 J+ y+ N
Satisfy All表示必须同时满足主机级别(Allow/Denay)和用户级别(Require)的限制,All是默认值,该行可以省略。
# R7 E: ^5 \% M M5 h* G* v三、利用.htaccess进行密码保护与验证
4 {% o p7 l7 W/ ?$ \/ G# Q1.配置.htaccess2 W) t% E \1 [
- AuthType Basic# _& o4 c$ ~. i+ m v- s2 x! b
- AuthName "restricted area"
7 ]- x( ~: X; M7 a - AuthUserFile /usr/local/var/www/html/.htpasses0 Z- K* f% ]. k6 t" {1 ^' S
- require valid-user
复制代码 这个配置文件可以保护.htaccess所在的整个目录,简单说明下参数:
1 D7 u9 h/ Z; W AuthType:验证类型为基本类型,密码以明文方式传输到服务器上
# e, [+ T1 T7 ~! E1 b) |+ b% M AuthName:验证提示,会出现在验证对话框中) s. V# t# v8 Q! I$ p5 F! p6 C5 K5 c
AuthUserFile:验证配置文件,用于匹配用户名与密码,该密码是加密保存的7 x# b* ]9 v: v& S+ K
require valid-user:只有在AuthUserFile中出现的用户才可以通过验证
! [' H1 J3 b3 H4 x- E如果验证失败,则会出现401错误。' ] d2 D6 P4 G# I/ k+ e& n
2.生成.htpasses文件% Z6 }. S. c) c8 N+ M
如何生成.htpasses文件呢?我们通过htpasswd命令生成密码文件:" d1 P4 e. P6 H- B' J
- htpasswd -c /usr/local/var/www/html/.htpasses lesca
复制代码 它会提示你输入密码,并确认。之后将密码文件.htpasses保存在/usr/local/var/www/html/目录下。
' a7 [% H2 H# B3.对文件进行密码保护& J: t- w+ Q! O0 ~
保护与.htaccess在同一目录下的文件secure.php:
/ y4 t) f; X+ z, E- # password-protect single file
- @2 d/ ?0 D5 V - <Files secure.php>( ~6 b, |" Z7 I+ P+ I" [( Z" E
- AuthType Basic
1 P6 R4 ?" T" b. a2 Z - AuthName "Prompt"
/ W5 s1 Y& i& G; B) v; ]. g2 Q) j - AuthUserFile /home/path/.htpasswd/ w/ h, S: g/ z C3 }
- Require valid-user6 Z5 i& |) K8 y: v/ s% T( l; r
- </Files>
复制代码 保护.htaccess所在目录下的多个文件:6 h: b# g8 w; Z2 f( j S/ Y
- # password-protect multiple files& D6 K0 m; J6 o: m& u# p3 F4 Y
- <FilesMatch "^(execute|index|secure|insanity|biscuit)*[ DISCUZ_CODE_634 ]quot;>
5 Q' N- v& [, q - AuthType basic
; z9 ?6 H* D' _3 H - AuthName "Development"! }) I& d9 K0 j9 l8 w
- AuthUserFile /home/path/.htpasswd
( T9 c$ G$ \, v - Require valid-user
8 D5 o1 }, E# ? - </FilesMatch>
复制代码 4.对指定IP进行密码保护7 g& T! Q2 ]4 F# [7 T
仅允许IP地址为88.88.88.88的主机直接访问该目录,其他IP需要验证。
3 t# s; R" o/ T/ E V" K- AuthType Basic7 d! e# V5 J/ w/ }7 P' R
- AuthName "Personal"% C3 z0 Z3 e% a) k1 V
- AuthUserFile /home/path/.htpasswd
# W0 ~* s" L& \ - Require valid-user+ s. \) @% r* K+ N! B+ Z& }
- Allow from 88.88.88.88
( S% g* x T3 L' J l( m0 I3 g' E5 H - Satisfy Any
复制代码 5.安全性
+ ^. W/ Y. Y( }出于安全考虑,将.htpasses文件存放在WEB目录树之外也许是个好方法,但是由于.htpasses是隐藏文件,而且Apache不会输出隐藏文件,因此可以满足基本的安全要求。这是通过在主配置文件中加入如下限制实现的:
$ J A1 J, S' E% v- <Files ~ "^\.ht"># v8 T9 c+ h+ E* k D$ W! y! f! F. i
- Order allow,deny3 o* ^# N. d$ D" U8 y$ s) x
- Deny from all
! E# M u5 \: Z3 _ - Satisfy All, w9 d, ]6 p# v( d L$ q7 a3 m+ b. k# ]
- </Files>
复制代码 一般而言,这是默认设置,用户无需手动添加。我们唯一需要担心的是密码在网络传输过程中是明文形式,这很容易被黑客破译。Coz提供了一个开源项目Pajamas可以在本地利用JS对密码进行MD5加密,有兴趣的读者可以前去研究一下。! r) ], Q$ H* v/ K& ?
四、目录浏览与主页% |& A) A" o! L2 H7 g
1.启用目录浏览
3 y I3 n* |+ x" Z- # enable directory browsing) Q7 h/ p7 A3 S8 X V
- Options All +Indexes
复制代码 2.禁用目录浏览 K3 H& I( y; j7 i; Z
- # disable directory browsing
. I& E% N$ z; a6 Q! S3 l6 v0 M8 r - Options All -Indexes
复制代码 我们还可以通过IndexIgnore指令来禁用目录浏览。
* V2 Q- e. w$ d; ~- d3 q2 C- # prevent folder listing
6 J$ G: w; ]# A8 T$ E8 X* a - IndexIgnore *
复制代码 通过IndexIgnore指令,我们可以禁止对指定类型的文件浏览:
6 y5 l& u2 N4 G) H- # prevent display of select file types
6 _! A3 P: x4 N, ?" J5 L) V0 t/ r9 T - IndexIgnore *.wmv *.mp4 *.avi *.etc *.rm *.rmvb *.exe *.mp3 *.mpeg *.mov *.asf *.navi *.3gp *.mkv *.flv *.f4v
复制代码 3.自定义目录浏览
9 E$ w/ w' Z/ z* ]* Z: b" ^如果你希望Apache在展示你的WEB目录时看起来与众不同,那么你需要启用FancyIndexing选项:! K8 ^" `0 @, k4 k
- <IfModule mod_autoindex.c>1 |7 o$ @5 C+ _0 t
- IndexOptions FancyIndexing
]( x& h J7 E. ^( w! N K - </ifModule>
复制代码 通过这个选项,你可以实现自定义图标、添加文件类型描述、按日期排序等。5 {/ I) r- ^8 B. o1 j- [& G$ E k: a
4.配置目录主页文件6 n9 r/ _ T% A' {% @9 ^
即使启用了目录浏览,Apache未必会展示该目录的内容,因为该目录可能存在像index.htm这样的默认主页文件。Apache会有限展示主页文件,我们可以通过.htaccess设置:
- S3 O! J* ~3 |; _2 `- DirectoryIndex index.html index.php index.htm
复制代码 5.配置错误页面7 n/ f+ ^$ _& ]: ?
如果Apache遇到错误,就会输出错误页面。配置自定义的错误页面,也许可以挽留即将离开的用户。
0 x0 \3 C0 P9 k( b- # custom error documents* y+ v2 Y( O1 \7 G" Q
- ErrorDocument 401 /err/401.php
( { K7 ]4 v3 y4 N! @ - ErrorDocument 403 /err/403.php+ h2 U1 V1 x# X; X
- ErrorDocument 404 /err/404.php) q) V6 [6 r3 H1 l8 L
- ErrorDocument 500 /err/500.php
复制代码 |