允许覆盖安全问题

Question

有各种各样的帖子建议您如何添加 .htaccess 文件以从 URL 中删除 index.php。但是，为了使 .htaccess 文件正常工作，必须更改AllowOverride（通常为“All”）。

本教程解释了使用 .htaccess 文件进行 mod_rewrite 是一种误解，可以而且应该在主配置文件中完成。

我的网络安全官员告诉我 - 我引用 - “将AllowOverride更改为All会增加网络服务器的风险，因为如果被利用，入侵者/黑客/机会主义者可能会覆盖主服务器配置，这可能会允许他们采取各种行动；这将是严重的安全漏洞”。我不确定这能承受多少重量！

所以我的问题是；

1. 更改AllowOverride是否真的存在严重危险
2. 如果是这样，为什么在Stack Overflow上如此广泛地建议使用 .htaccess 删除 index.php ？

Answer 1

.htaccess如果黑客/入侵者掌握了您的文件系统，那么他们就可以修改重写规则并更改您网站的行为，从某种意义上说，存在一点安全问题。但请记住，如果黑客掌握了您的 DOCUMENT_ROOT 文件夹，那么通过修改/删除任何其他代码也可能造成更大的损害，并且您面临更大的问题。

然而，为.htaccess您提供的是最大的灵活性，让您控制您的网站行为、身份验证需求，而无需在 Apache 配置中进行这些更改并每次重新启动它。特别是在共享托管环境中，网站所有者甚至无法访问 Apache 配置。