Teil 4: [Workshop] Zugangskontrolle per .htaccess - Mehr Sicherheit

1. <Directory> 2. <DirectoryMatch> 3. <Files> 4. <FilesMatch>

Sollten Sie mehrere dieser Direktiven innerhalb einer Konfigurationsdatei verwenden, sollten Sie die Reihenfolge beachten, damit sich die verschiedenen Regeln nicht gegenseitig überschreiben.

Zugriff über URLs einschränken

Alle bisherigen Regelungen sind davon ausgegangen, dass es sich bei der Definition um physische Dateien oder Verzeichnisse handelt, die einen Namen besitzen und in Dateien gespeichert werden.

Aber auch für dynamische Webseiten, die aus einer Datenbank generiert werden, können Sie Zugriffsrechte über die Direktive <Location> setzen - diese setzt auf URLs oder Teilen davon auf. Die Direktive gibt es auch wieder in zwei Ausprägungen <Location> und <LocationMatch>.Verwenden Sie <Location> nur für URLs, nicht aber für physische Dateien oder Verzeichnisse. Es kann immer mehrere URLs geben, die auf das gleiche physikalische Verzeichnis zeigen, beispielsweise bei verschiedenen Domain-Namen - leicht wird das ein oder andere Mapping vergessen.

Wenn Sie also den Zugriff auf einzelne Verzeichnisse sperren möchten, sollten Sie immer den Weg über die Dateien und Verzeichnisse vorziehen.

In der Abarbeitung steht <Location> an letzter Stelle: Erst werden die <Directory>-Container geladen und anschließend die darin <Files>-Direktiven abgearbeitet.

Unterscheidung Lesen/Schreiben

Mit den bisher gezeigten Methoden werden die Dateien und Verzeichnisse generell für den lesenden und den schreibenden Zugriff eingeschränkt. Innerhalb der Konfigurationsdatei können Sie jedoch auch noch granularer vorgehen und zwischen http-Zugriffsarten unterscheiden.

Dazu steht Ihnen die Direktive <Limit> zur Verfügung. Geben Sie für die einzelnen Zugriffsarten wie GET, PUT und POST verschiedene Zugriffsberechtigungen an. Die einzelnen Definitionen klammern Sie über die Direktive <Limit>.

Mit <Limit> können Sie nur die beschriebenen http-Zugriffe steuern - es hat keine Auswirkungen auf Verzeichnisse, Dateien oder URLs. Sie sollten diese Direktive nicht für allgemeine Zugriffsbeschränkungen verwenden. Setzen Sie dazu die zuvor beschriebenen Direktiven ein.