.htaccess基本認証とIP制限の組み合わせ

Question

.htaccess設定を使用して自分のサイトからのパスをブロックしたいとします。特定のIPのセットだけが、基本認証を使用して認証された後、URLからその特定のパスにアクセスできるという考えがあります。

注：これはパスであり、ページまたはディレクトリではありません。私たちはウェブサービスを保護しようとしているので、URLへのポストコールしかありません。

私は、URL example.com/restをブロックし、IPに基づいてそのURLの背後にあるすべてのものをブロックしたいと思います。したがって、example.com/rest/fooとexample.com/rest/foo/barはブロックする必要があります。

アプリケーションからの他のすべてのパスは、基本的な認証なしで機能し続ける必要があります。

IPブロック部分は前にquestionで解決されました。

基本的な構成（ブロックする部分は.htaccessには多くありますが、この質問には関係ありません）。以下で見つけることができます。

SetEnvIf Request_URI "/rest(/.*)?$" rest_uri 
# Check on what subdomain we are. 
SetEnvIf Host ^local\. None_Prod_Env 

# Static 
SetEnvIf AH_CLIENT_IP ^123\.123\.123\.123$ Allow_Host 
# Range 
SetEnvIf AH_CLIENT_IP ^123\.123\.123\. Allow_Host 

Order deny,allow 
Deny from all 
Allow from env=!rest_uri 
Allow from env=Allow_Host 
Allow from env=None_Prod_Env 

ブロック以上のように、構成/休憩に/ *ではなく、非残りパスへのすべてのアクセスは、ユーザがIP X（Allow_Host変数）から来ることができますし、我々はこのケースではどれも生産環境がローカル許します。

私はそうのような基本的な認証で、この機能を拡張しようとしました：

SetEnvIf Request_URI "/rest(/.*)?$" rest_uri 
SetEnvIfNoCase Request_URI "/rest(/.*)?$" require_auth=true 

# ... Allow Host stuff and none prod stuff ... 

Order deny,allow 
Deny from all 
Allow from env=!rest_uri 
Allow from env=Allow_Host 
Allow from env=None_Prod_Env 

AuthName "Password Protected" 
AuthType Basic 
AuthBasicProvider file 
AuthUserFile /var/www/html/.htpasswd 
Require valid-user 

しかし、これはすべてのページ上だけではなく/休憩/ * URLの基本的な認証が生じました。私はそれをたくさん演奏しましたが、それを理解できませんでした。 SetEnvIfNoCaseからSetEnvIfに変更することも役に立ちませんでした。

注：当社のサーバーでは、Apache 2.2.22が動作しています。

Answer 1

あなたは、いくつかのApacheのディレクティブの組み合わせを使用して、この複雑な問題を解決することができますがmod_dir、mod_setenvとmod_auth_basic、すなわち：

SetEnvIf Request_URI ^/rest(/.*)?$ rest_uri 
# Check on what subdomain we are. 
SetEnvIf Host ^local None_Prod_Env 

# Static 
SetEnvIf AH_CLIENT_IP ^123\.123\.123\.123$ Allow_Host 
# Range 
SetEnvIf AH_CLIENT_IP ^192\.168\. Allow_Host 

RewriteEngine On 

# block if request is /rest/* and IP is not whitelisted and not localhost 
RewriteCond %{ENV:rest_uri} =1 
RewriteCond %{ENV:None_Prod_Env} !=1 
RewriteCond %{ENV:Allow_Host} !=1 
RewriteRule^- [F] 

# ask auth for /rest/* && NOT localhost && whitelist IP 
AuthType Basic 
AuthName "Password Protected" 
AuthUserFile /var/www/html/.htpasswd 
Require valid-user 

Order deny,allow 
Deny from all 
Allow from env=!rest_uri 
Allow from env=!Allow_Host 
Allow from env=None_Prod_Env 
Satisfy any 

Answer 2

コードにsatisfy anyを追加してください。このように試してみてください。

SetEnvIf Request_URI "/rest(/.*)?$" rest_uri 
SetEnvIf Referer "^http://local\.example\.com/" None_Prod_Env 

AuthName "Password Protected" 
AuthType Basic 
AuthBasicProvider file 
AuthUserFile /var/www/html/.htpasswd 
Require valid-user 

Order deny,allow 
Deny from all 
Allow from env=!rest_uri 
Allow from env=Allow_Host 
Allow from env=None_Prod_Env 
Satisfy any