Paßwortschutz per .htaccess: die AuthConfig-Direktive (2/2)

Die bisher dargestellte Methode basiert auf der Authentifizierung auf Basis des Usernamens direkt. Weitere Möglichkeiten bestehen in der Prüfung des Hosts, der Zugriffsmethode oder der Zugehörigkeit einer Gruppe:

require group perlunity	Gruppenzugehörigkeit festlegen. Hier: User der Gruppe perlunity
require user wolfi berti	User direkt prüfen. Hier: Direkte Userprüfung auf wolfi und berti
require valid-user	Zugang ok, wenn User in AuthUserFile korrekt vorkommt
order deny,allow	Reihenfolge/Wertigkeit der Rechte festlegen.
deny from all	Verbote festlegen. Hier: erstmal darf niemand zugreifen
satisfy all	Welche der folgenden Rechte müssen erfüllt sein. Hier: alle Anfordungen
allow from 127.0.0.1	Wer darf zugreifen. Hier: nur die angegebene IP
allow from 213.	Wer darf zugreifen. Hier: nur IP, die mit 213. anfangen

Alle vorgestellten Direktiven können beliebig kombiniert werden, allerdings ist eine sind komplezierte Kombiniationen nicht immer ganz einfach und können auch schon mal zu einem Sicherheitsproblem führen, wenn nicht alle möglichen Zugriffsmöglichkeiten getestet werden, vorallem in Bezug auf "order" und "satisfy". Aber i.d.R wird man mit den require-Befehlen auskommen.

TIPP 1: Man kann die .htpasswd-Datei auch mit einem Perl-Script pflegen. Hierzu gibt es eine Vielzahl von fertigen Anwendungen. Dabei wird das Paßwort mit dem Perl-Befehl "crypt" verschlüsselt. Dies geht unter Unix, nicht aber unter Windows. Somit kann unter Windows keine korrekte Prüfung stattfinden, da die Paßwörter nur korrekt mit dem bei Apache mitgelieferten Paßwort-Tool verschlüsselt werden können. Hat mich schon mal fast in den Wahnsinn betrieben, das möchte ich Euch ersparen.

TIPP 2: Bei sehr großen Userzahlen kann die Nutzung des Paßwort-Files sehr uneffizient werden. Über mod-perl kann Zugriff auf die Apache-API genommen werden und es bietet sich die Möglichkeit eine eigene Authentifizierung zu entwicklen und direkt die eingegebenen Daten in einer Datenbank zu prüfen. Wer das nicht selber machen will, kann auf eine Vielzahl von verfügbaren Modulen zurückgreifen, z.B. ApacheDBI von Edmund Mergl.

zurück

Seiten: 1 - 2 - 3 - 4 - Drucken

Kommentare

08.10.2003 - 19:24 | Icetea | info@icetea20000.de
Hi also bei mir funzt das nicht!Hab den Apache 2 und hab alles so gemacht wie es da steht ... 

07.10.2003 - 14:37 | dawolle | wolle@vjeran.de
Wie versteckt!? Wenn du über Dein browser auf die Datei zugreiffen willst bekomsmte ein Fo... 

23.09.2003 - 17:07 | stardust | phap@gmx.net
hab da mal ne frage was die verwendung von htacces-files unter windows angeht. gibt es ein... 

18.09.2003 - 08:40 | dawolle | wolle@vjeran.de
Find das Tutorial auch Gut. und zu dem ersten Komentar "nichtmal bei meinem webspaceprovid... 

18.09.2003 - 08:40 | dawolle | wolle@vjeran.de
Find das Tutorial auch Gut. und zu dem ersten Komentar "nichtmal bei meinem webspaceprovid... 

29.05.2003 - 11:41 | eric | keine E-Mail
nichtmal bei meinem webspaceprovider ging htaccess! jetzt, dank eurem tutorial für eigen... 

06.03.2003 - 10:28 | Phoenix | keine E-Mail
Schließe mich der Meinung meiner Vorgänger an. Vor allem das mit dem Windows Passwort hat ... 

02.11.2002 - 01:45 | special-webstar | test@mail.de
cooles tutorial hat mehr gebracht als die meisten Profi Seiten grins MfG special-webstar... 


Kommentar anfügen