Benutzung von .htaccess-Dateien

[FuSi]

Hallo Forenteilnehmer,

ich benutze seit langem .htaccess-Dateien in meinen Webprojekten. Bei der Authentifizierung müssen die Pfade der entsprechenden Benutzer- oder Gruppendateien absolut angegeben werden. Bevor ich eine .htaccess-Datei hochlade, muss ich den Pfad also anpassen, weil er ja nicht mit meinem lokalen Verzeichnispfad übereinstimmt.

Irgendwie ist das recht lästig möchte ich sagen. Wie handhabt Ihr das? Gibt es da irgendwelche Lösungsansätze? Kann ich z. B. vielleicht eine andere Datei in eine .htaccess-Datei inkludieren, die nur die Anweisungen für die Pfade zu den Benutzer- oder Gruppendateien enthält?

Vielen Dank für die Meinungen und Antworten.

FuSi

[Sven Rautenberg]

Moin!

ich benutze seit langem .htaccess-Dateien in meinen Webprojekten. Bei der Authentifizierung müssen die Pfade der entsprechenden Benutzer- oder Gruppendateien absolut angegeben werden. Bevor ich eine .htaccess-Datei hochlade, muss ich den Pfad also anpassen, weil er ja nicht mit meinem lokalen Verzeichnispfad übereinstimmt.

Die relative Angabe einer Datei wird vom Apachen relativ zum ServerRoot gesehen. Das hat mit dem DocumentRoot nichts zu tun, der den jeweiligen VHost bildet, und kann nur beeinflusst werden, wenn man an die zentrale Konfigurationsdatei herankommt.

Das ist bei Live-Hosts ja eher nicht der Fall, da muss man nehmen, was definiert ist. Aber beim lokalen Test-Host kann man die Angabe beeinflussen und genau so anpassen, dass man mit einer relativen Pfadangabe zurechtkommt.

Allerdings funktioniert das dann für genau den einen Test-Host in Kombination mit dem zugehörigen Live-Host - wer sich mit zwei unterschiedlichen Live-Hosts beschäftigt, auf denen diese Angabe unterschiedlich ist, hat wohl eher Pech.

Irgendwie ist das recht lästig möchte ich sagen. Wie handhabt Ihr das? Gibt es da irgendwelche Lösungsansätze? Kann ich z. B. vielleicht eine andere Datei in eine .htaccess-Datei inkludieren, die nur die Anweisungen für die Pfade zu den Benutzer- oder Gruppendateien enthält?

Du kommst um eine AuthUserFile-Angabe nicht herum, wenn du keinen alternativen Authentifizierungsspeicher hast (es gibt Module, die z.B. Datenbanken abfragen).

Als einziges Hilfsmittel ist mir das hier vor die Maus gelaufen:
http://httpd.apache.org/docs/2.2/mod/mod_authn_alias.html

Mit der Möglichkeit, mehrere alternative Authentifizierungsquellen anzugeben, kannst du die Dateipfade sowohl vom Live- als auch Testhost angeben. Ich hoffe mal, das das Resultat dann ist, die erste verfügbare Quelle anzuzapfen.

Ob das Modul dir allerdings zur Verfügung steht, kann ich nicht sagen.

- Sven Rautenberg

[Tom]

Hello,

ich benutze seit langem .htaccess-Dateien in meinen Webprojekten. Bei der Authentifizierung müssen die Pfade der entsprechenden Benutzer- oder Gruppendateien absolut angegeben werden. Bevor ich eine .htaccess-Datei hochlade, muss ich den Pfad also anpassen, weil er ja nicht mit meinem lokalen Verzeichnispfad übereinstimmt.

Die relative Angabe einer Datei wird vom Apachen relativ zum ServerRoot gesehen. Das hat mit dem DocumentRoot nichts zu tun, der den jeweiligen VHost bildet, und kann nur beeinflusst werden, wenn man an die zentrale Konfigurationsdatei herankommt.

<kkmode>Relative Pfadangaben beziehen sich immer auf den aktuellen Standort, also das eingestellte Arbeitsverzeichnis, nicht aber auf eine "Roor" (egal welche) oder auf den Speicherort des Scriptes, auch wenn zweiteres meistens auf identisch mit dem eingestellten Arbeitsverzeichnis ist</kkmode>

http://httpd.apache.org/docs/2.2/mod/mod_authn_alias.html
Das ist nun wieder interessant.

Zu beachten wäre auf jeden Fall noch, dass die .htaccess-Datei und die Autentifizierungsdatei schreibgeschützt werden sollten für den normalen Besucher und seine Dienste, also auch für den Apache-Webserver (mit ggf. PHP- oder PERL-Modul) und für die CGI-Scripte und tunslichst nicht über einen Userupload erreichbar sein sollten.

Ich habe in der letzten Zeit vermehrt Wehklagen gehabt, bei denen die Betreiber der Webseite dubiose Uploadscripte (meistens für Bilder und/oder Textdateien) eingesetzt haben und nicht beachtet haben, dass der Besucher damit in die Lage versetzt wurde, die .htaccess oder .htpasswd (wie sie dann auch noch per Default hieß) zu überschreiben.

Da steht dann Tür und Tor offen.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg