主页 / server / 问题 / 62570
Accepted
user19084
Asked: 2009-09-05 12:00:20 +0800 CST

Apache 中的 Cookie 身份验证

  • 772

我正在尝试在 Apache 中设置反向代理。用户需要登录，然后会收到一个 cookie。我希望 Apache 检查 cookie。有没有办法做到这一点？

EG，现在我的配置如下所示：

<VirtualHost *:82>
  # username:password sent on to endpoint
  RequestHeader set Authorization "Basic cm9vdjfjDJaGRvYa=="

  ProxyPass /monitors/2/ http://192.168.1.6/foo.cgi
  ProxyPassReverse /monitors/2/ http://192.168.1.6/foo.cgi
</VirtualHost>

我可以在 VirtualHost 中添加一些东西来限制基于 cookie 的访问吗？

apache-2.2 security authentication reverse-proxy cookies

1 个回答

  1. Best Answer

    当然。我做同样的事情。

    当用户登录时，我给他们一个 cookie 并在/t/tokenid中创建一个令牌，并将其放入一个 cookie：S=tokenid;PATH=/

    然后，我可以RewriteCond用来检查文件是否存在：

    RewriteEngine on
# check for no cookie being set
RewriteCond %{HTTP:Cookie} !S=([a-zA-Z0-9]+)
RewriteRule ^/*protected/ /login.html [L,R]
# check for an invalid cookie being set
RewriteCond %{HTTP:Cookie} S=([a-zA-Z0-9]+)
RewriteCond /t/%1 !-f
RewriteRule ^/*protected/ /login.html [L,R]

    最后，垃圾收集器会定期运行并删除旧令牌：

    find /t -type f \! -atime +1 -delete

    为了使 atime 自动更新，我/t安装了没有noatime，并且我让它可以通过网络访问（但没有被索引），并且部分样式表引用/loggedin.txt被重写为：

    RewriteCond %{HTTP:Cookie} S=([a-zA-Z0-9]+)
RewriteRule ^/*loggedin\.txt$ /t/%1 [L]
    • 4

相关问题