Apache vidarebefordrande proxy-auktorisering: Require och AuthMerging
Följ auktorisering för global och virtuell värd-proxy genom Apaches regler för sammanslagning av sektioner, i stället för att behandla proxy.conf som ett separat policylager.
En regel i proxy.conf är inte en särskild regelklass. Apache läser inkluderad konfiguration i sitt konfigurationsträd; den omgivande globala sektionen, VirtualHost eller matchande sektion avgör hur direktivet deltar.
Börja med lyssnaren och den virtuella värden som betjänar vidarebefordringsbegäran. Samla sedan motsvarande Proxy-sektioner från den kontexten och huvudkonfigurationen. Ordningen i vilken sektioner bearbetas spelar roll, inte bara vilken fil som redigerades sist.
Auktorisering är inte alltid kumulativ
Med standardbeteendet AuthMerging Off ärvs auktorisering tills en senare tillämplig sektion tillhandahåller sin egen auktoriseringslogik. Den nya logiken kan ersätta de tidigare kraven i stället för att lägga till ytterligare en begränsning.
| Inställning | Kombination med närmast föregående auktoriseringssektion |
|---|---|
| Off | Ny auktorisering kan åsidosätta ärvd logik |
| And | Båda uppsättningarna måste auktorisera |
| Or | Endera uppsättningen kan auktorisera |
AuthMerging självt är lokalt för sektionen som innehåller det. Anta inte att en engångsinställning av And ändrar varje senare sektion.
Håll den avsedda policyn explicit där det är möjligt. Två Require-rader utan en omgivande auktoriseringsbehållare är implicit alternativ, så en IP-regel plus valid-user är inte automatiskt ”IP och användare”. Använd RequireAll när båda villkoren hör till samma beslut.
Granska den fullständiga matchande konfigurationen innan du ändrar ett proxykonto eller öppnar åtkomst. Testa sedan de tillåtna och avvisade fallen mot den körande lyssnaren. En begäran kan avvisas—eller oväntat tillåtas—eftersom en annan sektion tillhandahöll den effektiva auktoriseringen.