Защита одного файла на сервере; .htaccess хороший способ сделать это?

Question

У меня есть сайт для объявлений.

Я как администратор должен иметь возможность удалять объявления, как я хочу ... Поэтому я создал очень простую функцию удаления, которая требует только названия классифицированных.

Я планирую разместить его на сервере ТОЛЬКО, когда мне нужно удалить объявления, поэтому он не будет там, если я не загружу его и не планирую использовать его. Затем удалите его, когда закончите.

Я также планирую использовать htaccess для защиты паролем.

Это хороший план?

И можно ли только защитить паролем один файл на сервере с помощью htaccess? Если да, то как?

Благодаря ...

Answer 1

Вы должны создать подкаталог/администратор/или удалить, я не думаю, что вы можете использовать его защитить один файл. Вам не нужно добавлять и удалять файл, когда вам нужно, это похоже на рецепт для настройки вашей схемы авторизации (случайное удаление .htaccess и т. Д.).

Если вы выберете надежный пароль и хорошее имя пользователя (не администратор или администратор), вы должны быть в порядке.

Answer 2

У вас есть два варианта: <Location> или <Directory> в конфигурации сервера (они не могут быть помещены в .htaccess), или .htaccess файл

<Location /admin> 
    Order Deny,Allow 
    Deny from All 
    Allow from your.ip.addr.ess 
    AuthType Basic 
    AuthName "Admin page. Keep out" 
    AuthUserFile /some/path/htpasswd 
    AuthGroupFile /dev/null 
    Require valid-user 
</Location> 

Location позволяет ограничить по URL-адресу, который будет соответствовать независимо от того, где файлы физически хранятся на сервере, но также может быть обойдено, если вы разрешаете симлинкам следовать. Directory работает одинаково, но совпадает с физическим интерфейсом на стороне сервера, независимо от того, как обращается к каталогу/файлу. С Location вы можете указать абсолютный путь, включая файл, для соответствия, если вы хотите ограничить только один файл.

С помощью .htaccess вы по существу дублируете директивы Directory, но можете сделать это, не отскакивая от сервера, чтобы загрузить новую конфигурацию, за счет .htaccess, который необходимо разобрать для каждого запроса.

Для защиты административных сценариев лучше не полагаться только на защиту паролем, поэтому я добавил фильтр IP-адреса (Order/Deny/Allow). Лучшая безопасность заключается в том, чтобы поместить сценарии администратора в совершенно отдельный домен (даже если он все еще размещен на том же физическом сервере), поэтому кто-то, ковыряющий в случайных URL-адресах на главном сайте, не найдет административный раздел.