[linux-l] htaccess-Konzept

[Volker Diels-Grabsch]

Olaf Radicke schrieb:
> > Volker Diels-Grabsch <v at njh.eu> hat am 28. Juli 2015 um 12:09 geschrieben:
> > das ist ein typisches Blacklist/Whitelist Problem.
> 
> Danke für die Erörterung/Kommentare. Das ist mir alles zu komplex 
> und Fehler trächtig. Ich zie für mich den Schluss daraus:
> 
> 1.) Apache ist dafür gedacht, Dinge auszuliefern die füe die Öffentlichkeit
> gedacht sind. ACL ist nicht die Stärke von Apache/Webserver.
> 2.) ACL ist er die Domain von DMS (Dokumentenmanagement-System), die Webbasiert
> sein können und das auch hinter einem (Apache)Webserver/Reverse Proxy

Das habe ich so nicht gemeint. :-)

Ich würde eher einen Schutz auf Apache oder Nginx einrichten, als das
einer hinter dem Webserver laufenden Applikation anzuvertrauen.

Letzteres würde ich nur tun, wenn ich komplexe (Applikations-spezifische)
ACLs brauche.  Für bloße Dokumente würde ich immer auf den Webserver
setzen und nicht noch ein weiteres großes Stück Code dahinter schalten.

Ich würde halt nur keine .htacess-Dateien dafür verwenden, sondern das
direkt im Webserver konfigurieren.  Das ich sicher, und ich persönlich
finde das sogar komfortabler.  (Weil ich dann alles auf einen Blick
habe.)

Übringens: Eine gute Nginx-Konfiguration ist in meinen Augen deutlich
klarer und lesbarer als jede Apache-Konfiguration.  Aber das nur am
Rande.

> Schmerzhaft wird es allerdings, wenn man PHP-Applikationen hat, die dann wieder
> htaccess unter dem Radar einführen. Ich hoffe PHP stirbt eine Woche nach
> Flash...

Selbst wenn .htaccess wie gewünscht funktioniert, hast du dann noch
die vielen möglichlichen Sicherheitslücken in PHP selbst.


Gruß
Volker

-- 
Volker Diels-Grabsch
----<<<((()))>>>----