Dotaz: Jak nastavit AllowOverride (Apache)

[happymaster23]

Zdravím,

soubor .htaccess používám dlouho, ale teď poprvé jsem se na něj musel podívat z té druhé strany - správce serveru. Nejdříve bylo nutné .htaccess povolit - takže v konfiguráku v kmeni napsat AllowOverride All. Jak mi ovšem rázem došlo, tak to určitě není vhodné povolit úplně všechno. Takže jsem si na stránkách Apache našel dokumentaci k AllowOverride a zjistil jsem, že dvě věci by se měly povolit a to AuthConfig (aby si uživatelé mohli nastavovat HTTP login) a FileInfo (aby se dal použít mod_rewrite pro SEO-friendly URL). Potom jsem zjistil, že vůbec není na škodu povolit Indexes a tím pádem je povolení Limit prašť jako uhoď a můžeme tam rovnou napsat All.

Nicméně se mi to zdá jako příliš benevolentní, proto se chci zeptat jaké nastavení vy osobně doporučujete a jestli může být povolení nějaké direktivy bezpečnostní riziko pro server (ať už ze strany samotného uživatele a nebo jakéhokoliv útočníka i ve vztahu se špatným použitím .htaccess ze strany uživatele). Jsou ještě nějaké direktivy (kromě AllowOverride), kterými se dá ovlivnit chování .htaccess?

Na závěr mě ještě napadá úvaha, jestli není vhodné danému uživateli povolit .htaccess s danými oprávněními na požádání a nepovolovat to globálně. Tady se ale nabízí úvaha, jestli už není rovnou lepší potřebné nastavení adresáře inkludovat přímo do httpd.conf a ušetřit tak výkon serveru.

Děkuji za odpovědi

Odpovědi

[tuxmartin]

Zkuste se podivat na tento blog.

[happymaster23]

Díky za odpověď,

popsané řešení mi ovšem nepřipadá jako nejšťastnější, protože by v daném skriptu mohla být díra díky čemuž by daný autor .htaccess nezpůsobil Internal Server Error jenom sobě ale na celém serveru (protože by byla chyba ne v .htaccess) ale rovnou de facto v httpd.conf. Sice chápu, že ten skript by to měl dokázat ošetřit, nicméně se vší úctou k autorovi tomu skriptu nevěřím.

Já jsem přes noc vymyslel dle mého názoru kompatibilnější řešení - v /etc/httpd/conf.d jsem si udělal soubor htaccess.conf a do něj můžu jednoduše nacpat buď pevné nastavení toho konkrétního adresáře (pro mě nebo uživatele, který .htaccess jednou nastaví a už s ním nepotřebují hýbat) a nebo v něm můžu adresně povolovat .htaccess konkrétním uživatelům v konkrétních adresářích pro konkrétní oblast (FileInfo, Indexes, atd), kteří potřebují mít .htaccess pod svou kontrolou. Navíc tady by ten pětiminutový interval mohl někomu jednoduše vadit, protože si chce z .htaccessem vyhrát a za těch pět minut by si mohl okousat nehty až na maso ;).