Apache Web服务器安全配置全攻略

核心提示： Deny和Allow指令后可以输入多个变量，3、简单配置实例：Allow from allDeny from www.test.com指想让所有的人访问Apache服务器，Apache Web服务器安全配置全攻略(4)，但不希望来自www.test.com的任何访问，Order Deny, Al

Deny和Allow指令后可以输入多个变量。

3、简单配置实例：

Allow from all

Deny from www.test.com

指想让所有的人访问Apache服务器，但不希望来自www.test.com的任何访问。

　　Order Deny, Allow
　　Deny from all
　　Allow from test.cnn.com

指不想让所有人访问，但希望给test.cnn.com网站的来访。

Apache Sever的用户认证与授权

概括的讲，用户认证就是验证用户的身份的真实性，如用户帐号是否在数据库中，及用户帐号所对应的密码是否正确；用户授权表示检验有效用户是否被许可访问特定的资源。在Apache中，几乎所有的安全模块实际上兼顾这两个方面。从安全的角度来看，用户的认证和授权相当于选择性访问控制。

建立用户的认证授权需要三个步骤：

1、建立用户库

用户名和口令列表需要存在于文件（mod_auth模块）或数据库（mod_auth_dbm模块）中。基于安全的原因，该文件不能存放在文挡的根目录下。如，存放在/usr/local/etc/httpd下的users文件，其格式与UNIX口令文件格式相似，但口令是以加密的形式存放的。应用程序htpasswd可以用来添加或更改程序：

htpasswd –c /usr/local/etc/httpd/users martin

-c表明添加新用户，martin为新添加的用户名，在程序执行过程中，两次输入口令回答。用户名和口令添加到users文件中。产生的用户文件有如下的形式：

　　martin:WrU808BHQai36
　　jane:iABCQFQs40E8M
　　art:FadHN3W753sSU

第一域是用户名，第二个域是用户密码。

2、配置服务器的保护域

为了使Apache服务器能够利用用户文件中的用户名和口令信息，需要设置保护域（Realm）。一个域实际上是站点的一部分（如一个目录、文档等）或整个站点只供部分用户访问。在相关目录下的.htaccess文件或httpd.conf ( acces.conf ) 中的段中，由AuthName来指定被保护层的域。在.htaccess文件中对用户文件有效用户的授权访问及指定域保护有如下指定：