Apache 文件夹密码保护的安全性如何？

Question

Apache 文件夹密码保护的安全性如何？当然，安全性是相对的，并且取决于其他变量，例如服务器的其余部分等。

但只放大了 .htaccess 中的文件夹保护：这是一种安全的方法吗？是否存在已知的大洞？

Answer 1

我假设您指的是AuthType用于创建密码保护目录的指令集。

您可以采取一些措施来使其“更安全”。

1. 使用 DIGEST 方法而不是 BASIC 进行AuthType. BASIC 身份验证将用户名和密码作为 base64 编码字符串传递。DIGEST 使用随机数和 MD5，因此永远不会传输实际密码。

2. 确保您的 htpasswd/htdigest 文件不在 Web 文档根目录中，否则有人可能可以通过 apache 访问它（例如http://example.com/.htpasswd）

3. 如果必须使用 BASIC 身份验证，请考虑使用 SSL

4. 与基于会话的身份验证不同，登录的用户将保持登录状态，直到浏览器关闭。没有会话超时。除了强制 401/403 欺骗浏览器认为其身份验证不正确之外，您对此无能为力

附加信息：http://httpd.apache.org/docs/2.2/howto/auth.html