主页 / server / 问题 / 1066903
Accepted
Patoshi パトシ
Asked: 2021-06-17 06:06:41 +0800 CST

允许在查看目录时列出文件，但在直接访问时受保护（通过 HTTP 身份验证）

  • 772

.htaccess我使用and创建了一个受密码保护的目录.htpasswd，但是当我转到目录 URL 时，这些文件没有显示出来。

我有这个.htaccess：

#Protect multiple files
<FilesMatch "^(.*).csv$">
AuthName "Dialog prompt"                                                                                                                                                                                       
AuthType Basic
AuthUserFile /xxxxx/test                                                                                                                                              
#AuthUserFile ".htpasswd"                                                                                                                                                                                      
Require valid-user                                                                                                                                                                                             
</FilesMatch>

目录列表 - 不显示 CSV 文件

更新：我正在保护该目录中的 CSV 文件。当设置了 auth 指令时，它们会从目录列表中消失。当我删除它时，它们会出现。我希望至少能够看到目录列表中的文件，但是在访问这些文件时，它会提供身份验证提示。

linux permissions .htaccess apache-2.4 htpasswd

1 个回答

  1. Best Answer

    我正在保护该目录中的 CSV 文件。当设置了 auth 指令时，它们就会消失。当我删除它时它会显示出来。我希望至少能够看到这些文件，但是在访问这些文件时，它会提供一个身份验证提示。

    当使用 mod_autoindex 生成目录列表时，会为目录列表中出现的每个文件发出一个内部子请求。当使用<FilesMatch "^(.*).csv$">容器时，它也正在为这些子请求处理，因此目录列表中这些文件的条目也被阻止。

    使用该<FilesMatch>指令的另一种方法是使用<If>表达式并针对THE_REQUEST服务器变量进行测试。只有当用户实际请求文件而不是浏览目录列表时，这才会成功。.csv

    例如：

    # Directory listings (mod_autoindex) need to be enabled
Options +Indexes

# Protect CSV files from being accessed, but still visible in directory listing
<If "%{THE_REQUEST} =~ m#\.csv(\s|\?)#">
AuthName "Dialog prompt"                                                                                                                                                                                       
AuthType Basic
AuthUserFile /xxxxx/test                                                                                                                                              
Require valid-user                                                                                                                                                                                             
</If>

    THE_REQUEST包含 HTTP 请求的第一行。例如。GET /foo/test.csv HTTP/1.1（在 GET 请求的情况下/foo/test.csv） - 并且在整个请求过程中不会改变。因此，当请求目录本身时，例如。/foo/然后不处理封闭的块，并且不阻止这些文件的列表。

    增加的复杂性是THE_REQUEST包含请求的整个 URL，其中可能包括查询字符串。因此，检查(\s|\?)（即空格或文字?）是为了避免通过简单地包含查询字符串来绕过密码检查。例如。/foo/test.csv?anything.

    • 1

相关问题