稳定互联,中美互联,站长交流,虚拟主机,香港主机,美国主机,虚拟空间,免费空间,免费VPS,免费域名

 找回密码
 立即注册
查看: 2581|回复: 0

[经验] .htaccess教程:简介、访问控制、验证、目录浏览控制

[复制链接]
发表于 2014-3-15 20:28:39 | 显示全部楼层 |阅读模式
一、.htaccess简介# |% Z- C5 _* w; I
1.什么是.htaccess  Y# T7 Y) n9 r$ }
    .htaccess是一个纯文本文件,里面存放着Apache服务器配置相关的一些指令,它类似于Apache的站点配置文件,如httpd.conf(Apache2已经支持多站点,因此你的站点配置文件可能在/etc/apache2/conf.d/目录下)。
1 K( B1 g4 Z, D) d    .htaccess与httpd.conf配置文件不同的是,它只作用于当前目录。另外httpd.conf是在Apache服务启动的时候就加载的,而.htaccess只有在用户访问目录时加载,开销大、速度慢。5 W! L" T1 F5 X' Z5 N0 U. Q2 B
    既然如此,为什么我们还要用.htaccess呢?因为它配置起来简单,它还支持重定向、URL重写以及访问验证,另外它管理起来很方便,可以很好适应网站迁移。总之,各有优缺点,主要就看你是要从全局考虑还是只配置单个目录。+ t* i3 L; @5 U0 c- [+ H$ N- b
2.AllowOverride All4 P- x4 g# e- B. v
通常情况下,Apache是默认启用.htaccess的,但是为了以防万一,请检查一下自己站点的配置文件,如httpd.conf,是否有这行:: y9 X$ ^' H7 @
  1. AllowOverride All
复制代码
这行允许重写配置文件。也就是如果能够从.htaccess加载配置文件,那么就以.htaccess为配置文件对其所在目录进行配置。
1 l, K% E; p$ v3.500错误
( g7 S$ q3 G6 x) S+ U    如果你租用了云服务提供商的主机或者空间,那么他们可能不会给你读写httpd.conf文件的权限,你也不可能检查AllowOverride命令参数是否为All,这时,你可以新建一个目录,在里面写一个.htaccess文件,文件中随意写入一些服务器看不懂的东西,然后访问该目录里的一个页面,耐心等待500错误的出现。
2 }0 r  k. X6 B    如果没有出现,那么.htaccess没有被启用,你需要向你的服务供应商寻求帮助;如果出现了,那么恭喜你,你可以对当前目录重写Apache配置。
* X- U; Q" i" X& J8 g注意:.htaccess语法错误可能会影响整个站点,如果你不确定这样做是否安全,请联系你的云服务供应商。
* \' `6 R$ I6 l: D! R二、.htaccess访问控制(Allow/Deny)
$ K; N4 p, h$ A$ R* V! v4 Q1.访问控制基础:Order命令  w/ V, x  q8 x0 u7 S7 v1 z& u. R
为了限制用户访问一些关键目录,.htaccess可以提供目录访问限制。你只需要在要限制的目录中,加入如下.htaccess文件:4 E) }' O( f/ t& x
  1. # no one gets in here!
    . G( f/ `2 F! q) n
  2. deny from all
复制代码
这会限制所有用户通过浏览器访问该目录,这太一刀切了,因此我们还可以增加一些特定的条件,如允许指定IP地址的访问:
) N! y6 i8 j  a3 w2 T' ?
  1. Order Allow,Deny
    , @- Q* y: H4 S# W! v  q  A1 l
  2. Deny from All4 q$ h8 V4 E/ M# u  Q/ r
  3. Allow from 192.168.0.0/24 * F: B$ g! g- \
复制代码
Order命令是一个难点,也是配置apache的基础,它决定了Apache处理访问规则的顺序。
5 Q+ n, q" C. R$ b; \6 z8 y    通过Allow,Deny参数,Apache首先找到并应用Allow命令,然后应用Deny命令,以阻止所有访问。, _% X# f( X2 h1 G. l( M
    通过Deny,Allow参数,Apache首先找到并应用Deny命令,然后应用Allow命令,以允许所有访问。0 ~/ ?3 @+ N2 k5 T
了解Order的用法后,再仔细考虑下上面的例子,你或许能够发现Deny命令是多余的,以下用法和之前的描述语义相同:
% b5 h6 Y5 @  w% p  j0 i
  1. Order Allow,Deny, \1 _* V% E) ~/ A  ]1 v+ Z
  2. Allow from 192.168.0/24
复制代码
2.利用.htaccess过滤域名或网络主机(Allow/Deny)
0 v. E6 ~8 N) M2 X: L+ T9 U下例可以限制所有含有“domain.com”的网络主机访问网站:
9 j- I/ [5 ^: d$ O, `9 M5 E/ [
  1. Order Allow,Deny
    ! ?" L+ n4 I; n+ P- o+ v
  2. Allow from all
    2 j% b! X5 f$ q% v4 L# l5 o9 l
  3. Deny from .*domain\.com.*
复制代码
3.利用.htaccess禁止访问指定文件(Files)2 o: N6 v- u7 u6 G
Files命令可以用于过滤指定文件:
+ x% [; t" \2 L% ~& |# T2 E
  1. # secure htaccess file% {: g" J; m2 M
  2. <Files .htaccess>2 L9 v. D) \+ s# T. ^6 i& I
  3. order allow,deny
    4 N" k+ I. s  E% s8 _8 v, k
  4. deny from all) o! w' s: d: K! _% Y/ d; q! t, _
  5. </Files>
复制代码
4.利用.htaccess禁止访问指定文件类型(FilesMatch)
* x' Q% ]5 q9 n下面的代码将限制访问所有.log和.exe文件:. R( U. A, o5 u$ u% Y% t
  1. <FilesMatch ".(log|exe)[        DISCUZ_CODE_629        ]quot;>
    ! X4 p" |1 w3 f$ N1 X( K
  2. Order allow,deny$ {+ H8 T' p) N7 h+ G8 ?$ P
  3. Deny from all
    7 [( M; K3 q1 `( m- O
  4. </FilesMatch>
复制代码
我们还可以通过Files命令描述文件类型,但是需要在命令后面加一个波浪线(~),该符号启用Files命令的正则表达解析功能:
# L' Z: H* B# U4 ^) `
  1. <Files ~ "^.*\.([Ll][Oo][Gg])|([eE][xX][eE])">
    7 M2 V5 C' q+ K7 ~/ O! }
  2. Order allow,deny' H4 I# X/ t' g% M
  3. Deny from all
    / D% T4 e4 Y* Q) Q
  4. Satisfy All
    1 N# j# Y; d6 e& a3 ~& C
  5. </Files>
复制代码
有以下几点需要读者注意:
. j6 `5 R' y+ c) A    Files之后的波浪线用于开启“正则表达式”分析。请注意,这是个过时的用法,Apache更推荐使用<FilesMatch>指令。6 z# n) f1 ?! A7 B3 j+ _% q( u' i$ f
    正则表达式必须在双引号之间。/ a3 ~1 g9 b" {/ o
    双引号中的“管道符”(|)用于将两种文件类型(.log和.exe)分开,相当于逻辑“或”
2 d0 w  ?7 M8 m( _7 k/ \1 E    Order命令必须嵌在Files节(Section)中,否则将会应用到所有文件! }" W7 J+ y+ N
    Satisfy All表示必须同时满足主机级别(Allow/Denay)和用户级别(Require)的限制,All是默认值,该行可以省略。
# R7 E: ^5 \% M  M5 h* G* v三、利用.htaccess进行密码保护与验证
4 {% o  p7 l7 W/ ?$ \/ G# Q1.配置.htaccess2 W) t% E  \1 [
  1. AuthType Basic# _& o4 c$ ~. i+ m  v- s2 x! b
  2. AuthName "restricted area"
    7 ]- x( ~: X; M7 a
  3. AuthUserFile /usr/local/var/www/html/.htpasses0 Z- K* f% ]. k6 t" {1 ^' S
  4. require valid-user
复制代码
这个配置文件可以保护.htaccess所在的整个目录,简单说明下参数:
1 D7 u9 h/ Z; W    AuthType:验证类型为基本类型,密码以明文方式传输到服务器上
# e, [+ T1 T7 ~! E1 b) |+ b% M    AuthName:验证提示,会出现在验证对话框中) s. V# t# v8 Q! I$ p5 F! p6 C5 K5 c
    AuthUserFile:验证配置文件,用于匹配用户名与密码,该密码是加密保存的7 x# b* ]9 v: v& S+ K
    require valid-user:只有在AuthUserFile中出现的用户才可以通过验证
! [' H1 J3 b3 H4 x- E如果验证失败,则会出现401错误。' ]  d2 D6 P4 G# I/ k+ e& n
2.生成.htpasses文件% Z6 }. S. c) c8 N+ M
如何生成.htpasses文件呢?我们通过htpasswd命令生成密码文件:" d1 P4 e. P6 H- B' J
  1. htpasswd -c /usr/local/var/www/html/.htpasses lesca
复制代码
它会提示你输入密码,并确认。之后将密码文件.htpasses保存在/usr/local/var/www/html/目录下。
' a7 [% H2 H# B3.对文件进行密码保护& J: t- w+ Q! O0 ~
保护与.htaccess在同一目录下的文件secure.php:
/ y4 t) f; X+ z, E
  1. # password-protect single file
    - @2 d/ ?0 D5 V
  2. <Files secure.php>( ~6 b, |" Z7 I+ P+ I" [( Z" E
  3. AuthType Basic
    1 P6 R4 ?" T" b. a2 Z
  4. AuthName "Prompt"
    / W5 s1 Y& i& G; B) v; ]. g2 Q) j
  5. AuthUserFile /home/path/.htpasswd/ w/ h, S: g/ z  C3 }
  6. Require valid-user6 Z5 i& |) K8 y: v/ s% T( l; r
  7. </Files>
复制代码
保护.htaccess所在目录下的多个文件:6 h: b# g8 w; Z2 f( j  S/ Y
  1. # password-protect multiple files& D6 K0 m; J6 o: m& u# p3 F4 Y
  2. <FilesMatch "^(execute|index|secure|insanity|biscuit)*[        DISCUZ_CODE_634        ]quot;>
    5 Q' N- v& [, q
  3. AuthType basic
    ; z9 ?6 H* D' _3 H
  4. AuthName "Development"! }) I& d9 K0 j9 l8 w
  5. AuthUserFile /home/path/.htpasswd
    ( T9 c$ G$ \, v
  6. Require valid-user
    8 D5 o1 }, E# ?
  7. </FilesMatch>
复制代码
4.对指定IP进行密码保护7 g& T! Q2 ]4 F# [7 T
仅允许IP地址为88.88.88.88的主机直接访问该目录,其他IP需要验证。
3 t# s; R" o/ T/ E  V" K
  1. AuthType Basic7 d! e# V5 J/ w/ }7 P' R
  2. AuthName "Personal"% C3 z0 Z3 e% a) k1 V
  3. AuthUserFile /home/path/.htpasswd
    # W0 ~* s" L& \
  4. Require valid-user+ s. \) @% r* K+ N! B+ Z& }
  5. Allow from 88.88.88.88
    ( S% g* x  T3 L' J  l( m0 I3 g' E5 H
  6. Satisfy Any
复制代码
5.安全性
+ ^. W/ Y. Y( }出于安全考虑,将.htpasses文件存放在WEB目录树之外也许是个好方法,但是由于.htpasses是隐藏文件,而且Apache不会输出隐藏文件,因此可以满足基本的安全要求。这是通过在主配置文件中加入如下限制实现的:
$ J  A1 J, S' E% v
  1. <Files ~ "^\.ht"># v8 T9 c+ h+ E* k  D$ W! y! f! F. i
  2. Order allow,deny3 o* ^# N. d$ D" U8 y$ s) x
  3. Deny from all
    ! E# M  u5 \: Z3 _
  4. Satisfy All, w9 d, ]6 p# v( d  L$ q7 a3 m+ b. k# ]
  5. </Files>
复制代码
一般而言,这是默认设置,用户无需手动添加。我们唯一需要担心的是密码在网络传输过程中是明文形式,这很容易被黑客破译。Coz提供了一个开源项目Pajamas可以在本地利用JS对密码进行MD5加密,有兴趣的读者可以前去研究一下。! r) ], Q$ H* v/ K& ?
四、目录浏览与主页% |& A) A" o! L2 H7 g
1.启用目录浏览
3 y  I3 n* |+ x" Z
  1. # enable directory browsing) Q7 h/ p7 A3 S8 X  V
  2. Options All +Indexes
复制代码
2.禁用目录浏览  K3 H& I( y; j7 i; Z
  1. # disable directory browsing
    . I& E% N$ z; a6 Q! S3 l6 v0 M8 r
  2. Options All -Indexes
复制代码
我们还可以通过IndexIgnore指令来禁用目录浏览。
* V2 Q- e. w$ d; ~- d3 q2 C
  1. # prevent folder listing
    6 J$ G: w; ]# A8 T$ E8 X* a
  2. IndexIgnore *
复制代码
通过IndexIgnore指令,我们可以禁止对指定类型的文件浏览:
6 y5 l& u2 N4 G) H
  1. # prevent display of select file types
    6 _! A3 P: x4 N, ?" J5 L) V0 t/ r9 T
  2. IndexIgnore *.wmv *.mp4 *.avi *.etc *.rm *.rmvb *.exe *.mp3 *.mpeg *.mov *.asf *.navi *.3gp *.mkv *.flv *.f4v
复制代码
3.自定义目录浏览
9 E$ w/ w' Z/ z* ]* Z: b" ^如果你希望Apache在展示你的WEB目录时看起来与众不同,那么你需要启用FancyIndexing选项:! K8 ^" `0 @, k4 k
  1. <IfModule mod_autoindex.c>1 |7 o$ @5 C+ _0 t
  2. IndexOptions FancyIndexing
      ]( x& h  J7 E. ^( w! N  K
  3. </ifModule>
复制代码
通过这个选项,你可以实现自定义图标、添加文件类型描述、按日期排序等。5 {/ I) r- ^8 B. o1 j- [& G$ E  k: a
4.配置目录主页文件6 n9 r/ _  T% A' {% @9 ^
即使启用了目录浏览,Apache未必会展示该目录的内容,因为该目录可能存在像index.htm这样的默认主页文件。Apache会有限展示主页文件,我们可以通过.htaccess设置:
- S3 O! J* ~3 |; _2 `
  1. DirectoryIndex index.html index.php index.htm
复制代码
5.配置错误页面7 n/ f+ ^$ _& ]: ?
如果Apache遇到错误,就会输出错误页面。配置自定义的错误页面,也许可以挽留即将离开的用户。
0 x0 \3 C0 P9 k( b
  1. # custom error documents* y+ v2 Y( O1 \7 G" Q
  2. ErrorDocument 401 /err/401.php
    ( {  K7 ]4 v3 y4 N! @
  3. ErrorDocument 403 /err/403.php+ h2 U1 V1 x# X; X
  4. ErrorDocument 404 /err/404.php) q) V6 [6 r3 H1 l8 L
  5. ErrorDocument 500 /err/500.php
复制代码
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|手机版|Archiver|WdidcNet ( 苏ICP备17005075号-1 )

GMT+8, 2025-7-2 10:49 , Processed in 0.012645 second(s), 7 queries , APCu On.

Powered by Discuz!

© 2010-2023.

快速回复 返回顶部 返回列表