Dotaz: Jak omezit php pouze pro documentroot apache serveru

[nirone]

Jakým způsobem (bez safe_mode) se dá php skript běžící na web serveru nějak omezit od zdrojů např. omezit ho pouze na svůj web documentroot apod?

---

---

Odpovědi

[nelson]

open_basedir

[NN]

htaccess

NN

[nirone]

Jaké direktivy aby to platilo i pro php? Chtěl bych to zabezpečit na úrovni webového serveru (Apache2).

[d.c.]

Upřímná odpověď zní "s i bez safemode nijak". Existují různé velmi komplikované kompromisy. Je jednodušší použít např. dalšího Apache nebo virtualizaci.

[nirone]

Profesionální hostingy určitě neřeší hostování tisíce stránek tisícemi virtuálních serverů. Mě jde hlavně o to, aby se hostované stránky nemohly navzájem ovlivňovat(tzn. jeden hostovaný projekt bude číst soubory z druhého).

[Jendа]

Vytvoříš si pro každý web normální unixové uživatele a nastavíš práva tak, aby si navzájem nelezli do zelí.

Dále lze postupovat dvěma způsoby.

První je pomalejší, ale nežere paměť a dá se použít na hostování třeba tisíce webů. Vezmeš suexec a nastavíš webový server, aby každý PHP skript spouštěl jako CGI přes nějaký wraper, který se podívá, komu ten skript patří a podle toho ho spustí suexecem pod správným uživatelem. Tento způsob má ten problém, že pro vykonání každého PHP skriptu je třeba se několikrát forknout.

Druhý způsob spočívá v tom, že pod těmi uživateli spustíš fastcgi procesy a webserver vždy bude předávat PHP skripty jednotlivých webů správným fastcgi procesům. To je mnohem rychlejší, ale zase každý fastcgi proces žere paměť. U PHP počítej alespoň tak 50 MB.

[xilix]

Profi reseni> Reverze proxy + apache per user

[azurIt]

nechapem, co stale riesis, ked si odpoved dostal uz v prvom prispevku

[nirone]

Protože to je direktiva PHPčka a podle manuálu ještě ani nezaručuje, že bude všemi php rozšířeními dodržovaná.

[azurIt]

chcel si predsa obmedzit PHP skript.. a open_basedir je dodrzovany vsetkymi standardnymi rozsireniami.

[Ivan]

Opravdu? Zkusel mysql command "LOAD DATA FROM FILE"? Vis ze XML specifikace obsahuje neco jako XINCLUDE - neco jako #include v C++? open_basedir never. Rozumny reseni je spoustet PHP jako CGI v chrootu. Existuji i dalsi ale ty jsou o dost komplikovanejsi na nastaveni.

[azurIt]

jezis to co uz splietas ? :D toto predsa nie je zalezitost PHP ale MySQL. a okrem toho, na taketo a podobne akcie potrebujes opravnenie FILE, ktore sa bezne nedava (ak ho userom davas, tvoj problem).