htaccess wyklucza jeden adres URL z Basic Auth

Muszę wykluczyć jeden adres URL (lub jeszcze lepiej jeden prefiks) z normalnej ochrony htaccess Basic Auth. Coś w stylu /callbacks/myBanklub /callbacks/.* Czy masz jakieś wskazówki, jak to zrobić?

Nie szukam sposobu wykluczenia pliku. Musi to być adres URL (ponieważ jest to rozwiązanie oparte na frameworku PHP, a wszystkie adresy URL są przekierowywane mod_rewritedo index.php). Więc nie ma pliku pod tym adresem URL. Nic.

Niektóre z tych adresów URL to po prostu wywołania zwrotne z innych usług (adres IP nie jest znany, więc nie mogę wykluczyć na podstawie adresu IP) i nie mogą monitować o użytkownika / hasło.

Obecna definicja jest tak prosta, jak:

AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd
require valid-user 

Jeśli używasz Apache 2.4 SetEnvIfi obejścia mod_rewrite nie są już potrzebne, ponieważ Requiredyrektywa może bezpośrednio interpretować wyrażenia:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#
Require valid-user

Apache 2.4 traktuje Requiredyrektywy, które nie są pogrupowane według, <RequireAll>tak jakby znajdowały się w <RequireAny>instrukcji, która zachowuje się jak instrukcja „lub”. Oto bardziej skomplikowany przykład, który demonstruje dopasowanie zarówno identyfikatora URI żądania, jak i ciągu zapytania, a także wymaganie prawidłowego użytkownika:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

<RequireAny>
    <RequireAll>
        # I'm using the alternate matching form here so I don't have
        # to escape the /'s in the URL.
        Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#

        # You can also match on the query string, which is more
        # convenient than SetEnvIf.
        #Require expr %{QUERY_STRING} = 'secret_var=42'
    </RequireAll>

    Require valid-user
</RequireAny>

Ten przykład umożliwiłby dostęp, /callbacks/foo?secret_var=42ale wymagałby nazwy użytkownika i hasła /callbacks/foo.

Pamiętaj, że jeśli nie użyjesz <RequireAll>, Apache spróbuje dopasować każdy Require w kolejności, więc zastanów się, na które warunki chcesz zezwolić w pierwszej kolejności.

Odniesienie do Requiredyrektywy znajduje się tutaj: https://httpd.apache.org/docs/2.4/mod/mod_authz_core.html#require

A exprodniesienie do sesji jest tutaj: https://httpd.apache.org/docs/2.4/expr.html

Używając SetEnvIf , możesz utworzyć zmienną, gdy żądanie zaczyna się od jakiejś ścieżki, a następnie użyć Satisfy Anydyrektywy, aby uniknąć konieczności logowania.

# set an environtment variable "noauth" if the request starts with "/callbacks/"
SetEnvIf Request_URI ^/callbacks/ noauth=1

# the auth block
AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd

# Here is where we allow/deny
Order Deny,Allow
Satisfy any
Deny from all
Require valid-user
Allow from env=noauth

Fragment dyrektywy allow / deny w dyrektywach mówi, że odmawia dostępu KAŻDEMU , z wyjątkiem sytuacji, gdy istnieje poprawny użytkownik (pomyślne logowanie BASIC) lub gdy noauthzmienna jest ustawiona.

To rozwiązanie działa całkiem nieźle, wystarczy zdefiniować białą listę, przez którą chcesz przejść.

SetEnvIfNoCase Request_URI "^/status\.php" noauth

AuthType Basic
AuthName "Identify yourself"
AuthUserFile /path/to/.htpasswd
Require valid-user

Order Deny,Allow
Deny from all
Allow from env=noauth

Satisfy any

Wypróbowałem inne rozwiązania, ale to zadziałało. Miejmy nadzieję, że pomoże to innym.

# Auth stuff
AuthName "Authorized personnel only."
AuthType Basic
AuthUserFile /path/to/your/htpasswd/file

SetEnvIf Request_URI "^/index.php/api/*" allow
Order allow,deny
Require valid-user
Allow from env=allow
Deny from env=!allow
Satisfy any

Umożliwi to /index.php/api/otwarcie adresu URL interfejsu API i dowolnego ciągu adresu URL bez konieczności logowania się, a cokolwiek innego zostanie poproszone o zalogowanie.

Przykład:

mywebsite.com/index.php/apiotworzy się bez monitu o zalogowanie mywebsite.com/index.php/api/soap/?wsdl=1się otworzy bez pytania o zalogowanie mywebsite.comzostanie wyświetlony monit o zalogowanie się w pierwszej kolejności

<location />
        SetEnvIf Request_URI "/callback/.*" REDIRECT_noauth=1

        AuthType Basic
        AuthName "Restricted Files"
        AuthUserFile /etc/httpd/passwords/passwords
        Order Deny,Allow
        Satisfy any
        Deny from all
        Allow from env=REDIRECT_noauth
        Require user yournickname
</location>

Inne podejście działa w ten sposób, jeśli chroniony obszar ma monolityczny skrypt PHP kontrolujący wszystko, na przykład Wordpress. Skonfiguruj uwierzytelnianie w innym katalogu. Umieść tam plik index.php, który ustawia plik cookie na ścieżce „/”. Następnie w Wordpress (na przykład) sprawdź plik cookie, ale pomiń sprawdzanie, czy $ _SERVER ['REQUEST_URI'] jest wykluczonym adresem URL.

Na mojej wspólnej platformie hostingowej RewriteRule nie może ustawić zmiennej środowiskowej, która działałaby z „Satisfy any”.

Przy każdym podejściu uważaj, że chroniona strona nie zawiera obrazów, arkuszy stylów itp., Które powodują żądanie uwierzytelnienia, gdy sama strona nie.

Dodaj poniższy kod do głównego pliku htaccess i nie zapomnij zmienić adresu URL administratora, strony pliku .htpasswd.

<Files "admin.php">
        AuthName "Cron auth"
        AuthUserFile E:\wamp\www\mg\.htpasswd
        AuthType basic
        Require valid-user
    </Files>

Utwórz plik .htpasswd w folderze głównym i dodaj poniżej nazwę użytkownika i hasło (ustaw domyślną nazwę użytkownika: admin i hasło: admin123)

admin:$apr1$8.nTvE4f$UirPOK.PQqqfghwANLY47.

Daj mi znać, jeśli nadal masz jakiś problem.

dlaczego po prostu nie użyjesz uwierzytelniania podstawowego zgodnie z przeznaczeniem?

user:password@domain.com/callbacks/etc