使用 .htacces/.htpasswd 的 http 基本身份验证允许稍微不正确的密码

Question

我有一些站点的目录受 http 基本身份验证保护，这些目录是通过 .htaccess 文件与 .htpasswd 文件配对实现的。我注意到密码以“et!”结尾 我可以通过省略“t！”或替换！与 1。

我的 .htaccess 文件的内容：

AuthType Basic
AuthName "administration"
AuthUserFile /var/www/conf/mysitename.com.pw

require valid-user

我在 mysitename.com.pw 中有两个用户。

显然，这种行为是不想要的。知道发生了什么吗？

Answer 1

看看：http : //httpd.apache.org/docs/2.1/misc/password_encryptions.html

在我看来，您使用的是 CRYPT 格式的密码（大多数平台上的默认设置）。CRYPT 密码仅使用密码的前 8 个字符。

我怀疑您的密码长度超过 8 个字符，“稍微不正确”的部分是第 9 位或更大位置的字符（实际上并没有作为密码的一部分进行检查）。