在ColdFusion 9上锁定SOLR

Question

这可能属于serverfault,所以如果有,请移动.

我们刚刚发现您可以通过以下方式访问SOLR索引列表:http://example.com:8983/solr/然后允许您访问每个索引的SOLR管理员.这让我们感到......一件坏事.幸运的是,这被锁定为只从某个IP(我们的办公室IP通过防火墙)访问,但仍然意味着看门人可以访问我们的SOLR集合.不理想.

绕过它的一种方法是删除admin文件夹,但这仍然允许人们访问http://example.com:8983/solr/哪个不理想.

我已经阅读了有关安全性的SOLR 文档,但似乎无法完全锁定访问权限/solr/*.查看文档的错误部分可能非常好.

使用文档中的代码:

<security-constraint>
  <web-resource-collection>
    <web-resource-name>Solr authenticated application</web-resource-name>
    <url-pattern>/core1/*</url-pattern>
  </web-resource-collection>
  <auth-constraint>
    <role-name>core1-role</role-name>
  </auth-constraint>
</security-constraint>

<login-config>
  <auth-method>BASIC</auth-method>
  <realm-name>Test Realm</realm-name>
</login-config>

并且替换<url-pattern>/core1/*</url-pattern>为实际的solr集合名称确实意味着在访问http://example.com:8983/solr/collection_name/它时会询问我的登录名和密码,但是,当我试图锁定/solr/*或甚至*没有运气时.

我正在使用CF9附带的内置solr

Answer 1

这是远程 Solr 服务器还是与 CF9 在同一服务器上，如果与 CF9 在同一服务器上，那么您可以告诉 Solr 监听 127.0.0.1。早在 2010 年就有一个针对 CF 9.0.0 的补丁：http://www.adobe.com/support/security/bulletins/apsb10-04.html

如果它是远程 solr 服务器，那么您可以使用网络防火墙或本地防火墙（windows 防火墙或 iptables）来限制对此端口（也可能是此服务器）的访问仅限于 CF 服务器。