htaccess виключає одну URL-адресу з базової авторизації

Мені потрібно виключити одну URL-адресу (або ще краще один префікс) із звичайного захисту htaccess Basic Auth. Щось на зразок /callbacks/myBankчи у /callbacks/.* вас є підказки, як це зробити?

Я не шукаю, як виключити файл. Це повинен бути url (оскільки це рішення, засноване на фреймворці PHP, і всі URL-адреси переспрямовуються на mod_rewriteto index.php). Отже, за цією URL-адресою немає файлу. Нічого.

Деякі з цих URL-адрес - це лише зворотні дзвінки з інших служб (жоден IP не відомий, тому я не можу виключити на основі IP), і вони не можуть запитувати користувача / пароль.

Поточне визначення таке просте, як:

AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd
require valid-user 

Якщо ви використовуєте Apache 2.4, SetEnvIfі обхідні способи mod_rewrite більше не потрібні, оскільки Requireдиректива може інтерпретувати вирази безпосередньо:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#
Require valid-user

Apache 2.4 розглядає Requireдирективи, які не згруповані, <RequireAll>як якщо б вони були в a <RequireAny>, який поводиться як оператор "або". Ось більш складний приклад, який демонструє узгодження як URI запиту, так і рядка запиту, а також вимагає дійсного користувача:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

<RequireAny>
    <RequireAll>
        # I'm using the alternate matching form here so I don't have
        # to escape the /'s in the URL.
        Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#

        # You can also match on the query string, which is more
        # convenient than SetEnvIf.
        #Require expr %{QUERY_STRING} = 'secret_var=42'
    </RequireAll>

    Require valid-user
</RequireAny>

Цей приклад дозволить доступ, /callbacks/foo?secret_var=42але вимагатиме ім'я користувача та пароль для /callbacks/foo.

Пам'ятайте, що якщо ви не використовуєте <RequireAll>, Apache намагатиметься збігатись з кожним Require з них, тож подумайте, які умови ви хочете дозволити першими.

Посилання на Requireдирективу знаходиться тут: https://httpd.apache.org/docs/2.4/mod/mod_authz_core.html#require

А exprпосилання на використання тут: https://httpd.apache.org/docs/2.4/expr.html

Використовуючи SetEnvIf , ви можете створити змінну, коли запит починається з якогось шляху, а потім використовуйте Satisfy Anyдирективу, щоб уникнути необхідності входу.

# set an environtment variable "noauth" if the request starts with "/callbacks/"
SetEnvIf Request_URI ^/callbacks/ noauth=1

# the auth block
AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd

# Here is where we allow/deny
Order Deny,Allow
Satisfy any
Deny from all
Require valid-user
Allow from env=noauth

Частина директив allow / deny говорить, що забороняють доступ ВСІМ , за винятком випадків, коли є дійсний користувач (успішний вхід BASIC auth) або якщо встановлена noauthзмінна.

Це рішення працює досить добре, вам просто потрібно визначити білий список, який ви хочете пройти.

SetEnvIfNoCase Request_URI "^/status\.php" noauth

AuthType Basic
AuthName "Identify yourself"
AuthUserFile /path/to/.htpasswd
Require valid-user

Order Deny,Allow
Deny from all
Allow from env=noauth

Satisfy any

Я спробував інші рішення, але це те, що мені вдалося. Сподіваємось, це допоможе іншим.

# Auth stuff
AuthName "Authorized personnel only."
AuthType Basic
AuthUserFile /path/to/your/htpasswd/file

SetEnvIf Request_URI "^/index.php/api/*" allow
Order allow,deny
Require valid-user
Allow from env=allow
Deny from env=!allow
Satisfy any

Це дозволить URL-адресу API та будь-який рядок URL-адреси після /index.php/api/ того, як входити, і будь-що інше буде запропоновано ввійти.

Приклад:

mywebsite.com/index.php/apiвідкриється без запиту на вхід mywebsite.com/index.php/api/soap/?wsdl=1, відкриється без mywebsite.comзапиту на вхід, спочатку буде запропоновано ввійти

<location />
        SetEnvIf Request_URI "/callback/.*" REDIRECT_noauth=1

        AuthType Basic
        AuthName "Restricted Files"
        AuthUserFile /etc/httpd/passwords/passwords
        Order Deny,Allow
        Satisfy any
        Deny from all
        Allow from env=REDIRECT_noauth
        Require user yournickname
</location>

Інший підхід працює так, якщо область, яку ви захищаєте, має монолітний PHP-скрипт, який контролює все, як Wordpress. Налаштуйте автентифікацію за допомогою в іншому каталозі. Помістіть там index.php, який встановлює файл cookie на шляху '/'. Потім у Wordpress (наприклад) перевірте файл cookie, але пропустіть перевірку, якщо $ _SERVER ['REQUEST_URI'] є виключеною URL-адресою.

На моїй платформі спільного хостингу RewriteRule не міг встановити змінну середовища, яка працювала б із функцією "Задовольнити будь-яку".

З будь-яким підходом зверніть увагу, що захищена вами сторінка не включає зображення, таблиці стилів тощо, які ініціюють запит автентифікації, коли сама сторінка цього не робить.

Додайте наведений нижче код до кореневого файлу htaccess і не забудьте змінити URL-адресу адміністратора, сторінку файлу .htpasswd.

<Files "admin.php">
        AuthName "Cron auth"
        AuthUserFile E:\wamp\www\mg\.htpasswd
        AuthType basic
        Require valid-user
    </Files>

Створіть файл .htpasswd у своїй кореневій папці та додайте нижче ім’я користувача та пароль (встановіть ім’я користувача за замовчуванням: admin та пароль: admin123)

admin:$apr1$8.nTvE4f$UirPOK.PQqqfghwANLY47.

Будь ласка, повідомте мене, якщо ви все ще стикаєтесь з якоюсь проблемою.

чому ви просто не використовуєте базовий авторизатор так, як це було задумано?

user:password@domain.com/callbacks/etc