Авторизација на напреден прокси во Apache: Require и AuthMerging
Следете ја глобалната и авторизацијата на виртуелниот хост преку правилата за спојување на секции во Apache, наместо да го третирате proxy.conf како посебен слој на политика.
Правилото во proxy.conf не е посебна класа на правило. Apache ја чита вклучената конфигурација во своето конфигурациско дрво; опкружувачката глобална, VirtualHost или соодветната секција одредува како учествува директивата.
Започнете со слушателот и виртуелниот хост што ја опслужуваат барањето за напреден прокси. Потоа соберете ги соодветните Proxy секции од тој контекст и од главната конфигурација. Важен е редот на обработка на секциите, не само кој файл е уреден последен.
Авторизацијата не е секогаш кумулативна
Со стандардното однесување AuthMerging Off, авторизацијата се наследува додека некоја подоцнежна применлива секција не обезбеди сопствена авторизациска логика. Таа нова логика може да ги замени претходните барања наместо да додаде уште едно ограничување.
| Поставка | Комбинација со најблиската претходна авторизациска секција |
|---|---|
| Off | Новата авторизација може да ја надвладее наследената логика |
| And | Двете множества мора да авторизираат |
| Or | Секое множество може да авторизира |
Самиот AuthMerging е локален за секцијата што го содржи. Не претпоставувајте дека еднократното поставување And ќе ја смени секоја следна секција.
Одржувајте ја предвидената политика експлицитна каде што е можно. Две линии Require без опкружувачки авторизациски контејнер се имплицитно алтернативи, па правилото за IP заедно со valid-user не е автоматски „IP и корисник“. Користете RequireAll кога двата услова припаѓаат на истата одлука.
Прегледајте ја целосната соодветна конфигурација пред да промените прокси сметка или да отворите пристап. Потоа тестирајте ги дозволените и одбиените случаи на активниот слушател. Барањето може да биде одбиено—или неочекувано дозволено—зашто друга секција обезбедила ефективна авторизација.