Vì sao mật khẩu thư mục Apache không bảo vệ proxy chuyển tiếp
Trang chào mừng được bảo vệ và yêu cầu proxy chuyển tiếp được cấp phép dùng các ngữ cảnh cấu hình khác nhau. Hãy đặt chính sách proxy trong cấu hình máy chủ hoặc máy chủ ảo.
Lời nhắc mật khẩu trên trang chủ Apache chỉ bảo vệ tài nguyên cục bộ đó. Nó không chứng minh rằng mọi yêu cầu proxy chuyển tiếp tùy ý đều cần cùng một lần đăng nhập.
.htaccess áp dụng cho cấu hình thư mục được hỗ trợ; nó không phải bộ lọc cuối cùng cho mọi yêu cầu. Các phần ProxyRequests và <Proxy> thuộc cấu hình máy chủ hoặc máy chủ ảo. Hãy đặt cấp phép proxy chuyển tiếp ở đó, với cú pháp cấp phép của Apache 2.4 và thiết lập xác thực cần thiết.
Đối với dịch vụ riêng, hãy kết hợp có chủ đích các yêu cầu về nguồn máy khách và tài khoản dự kiến. Sau đó kiểm tra máy chủ ảo mà mỗi trình lắng nghe chọn, bao gồm máy chủ mặc định và cấu hình kế thừa. Truy cập một tên máy chủ được bảo vệ không chứng minh rằng một máy chủ đang hoạt động khác có cùng hạn chế proxy.
ProxyPass đảm nhiệm vai trò khác: thường ánh xạ không gian tên cục bộ tới một backend. Việc thêm nó không cấp phép cho các đích chuyển tiếp tùy ý.
Nếu bạn chỉ có thể sửa các tệp tài liệu của một trang, bạn có thể thiếu phạm vi quản trị để thiết lập ranh giới truy cập của dịch vụ này. Hãy có được thay đổi cấu hình máy chủ hoặc dùng một proxy hiện có đã được phê duyệt; mật khẩu thư mục không thể thay thế nó.