htaccess - basic authentication apache

htaccess excluye una URL de Basic Auth

Question

Necesito excluir una Url (o incluso mejor un prefijo) de la protección de autenticación básica de htaccess normal. Algo así como / devoluciones de llamada / myBank o / devoluciones de llamada /. * ¿Tiene alguna pista de cómo hacerlo?

Lo que no estoy buscando es cómo excluir un archivo. Esto tiene que ser url (ya que esta es una solución basada en el marco PHP, y todas las URL se redirigen con mod_rewrite a index.php). Por lo tanto, no hay ningún archivo debajo de esta url. Nada.

Algunas de esas URL son solo devoluciones de llamada de otros servicios (no se conoce ninguna IP, por lo que no puedo excluirlas en función de la IP) y no pueden solicitar Usuario / Contraseña.

La definición actual es tan simple como:

AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd
require valid-user 

Answer 1

¿Por qué no solo usas autenticación básica de la manera en que fue diseñada?

user:[email protected]/callbacks/etc

Answer 2

Agregue el código siguiente a su archivo htaccess raíz y no olvide cambiar su url de administrador, página de archivo .htpasswd.

<Files "admin.php">
        AuthName "Cron auth"
        AuthUserFile E:/wamp/www/mg/.htpasswd
        AuthType basic
        Require valid-user
    </Files>

Cree el archivo .htpasswd en su carpeta raíz y agregue debajo el nombre de usuario y la contraseña (configure el nombre de usuario predeterminado: admin y contraseña: admin123)

admin:$apr1$8.nTvE4f$UirPOK.PQqqfghwANLY47.

Por favor, avíseme si aún enfrenta algún problema.

Answer 3

Con SetEnvIf , puede crear una variable cuando la solicitud comienza con alguna ruta, luego use la directiva Satisfy Any para evitar tener que iniciar sesión.

# set an environtment variable "noauth" if the request starts with "/callbacks/"
SetEnvIf Request_URI ^/callbacks/ noauth=1

# the auth block
AuthName "Please login."
AuthGroupFile /dev/null
AuthType Basic
AuthUserFile /xxx/.htpasswd

# Here is where we allow/deny
Order Deny,Allow
Satisfy any
Deny from all
Require valid-user
Allow from env=noauth

El bloque permitir / denegar de las directivas indica que se niega el acceso a TODOS , excepto cuando hay un usuario válido (inicio de sesión de autenticación BASIC satisfactorio) o si se establece la variable noauth .

Answer 4

Esta solución funciona bastante bien, solo necesita definir la lista blanca por la que desea pasar.

SetEnvIfNoCase Request_URI "^/status/.php" noauth

AuthType Basic
AuthName "Identify yourself"
AuthUserFile /path/to/.htpasswd
Require valid-user

Order Deny,Allow
Deny from all
Allow from env=noauth

Satisfy any

Answer 5

Otro enfoque funciona así, si el área que está protegiendo tiene un script PHP monolítico que controla todo, como Wordpress. Configure Autenticación con en un directorio diferente. Coloque allí un index.php que establezca una cookie en la ruta ''/''. Luego, en Wordpress (por ejemplo), verifique la cookie, pero saltee la verificación si $ _SERVER [''REQUEST_URI''] es la URL excluida.

En mi plataforma de alojamiento compartido, RewriteRule no pudo establecer una variable de entorno que funcionó con "Satisfy any".

Con cualquier enfoque, tenga en cuenta que la página que está protegiendo no incluye imágenes, hojas de estilo, etc., que activan una solicitud de autenticación cuando la página no lo hace.

Answer 6

Probé las otras soluciones, pero esto es lo que funcionó para mí. Con suerte será de ayuda para otros.

# Auth stuff
AuthName "Authorized personnel only."
AuthType Basic
AuthUserFile /path/to/your/htpasswd/file

SetEnvIf Request_URI "^/index.php/api/*" allow
Order allow,deny
Require valid-user
Allow from env=allow
Deny from env=!allow
Satisfy any

Esto permitirá que la API y cualquier cadena de URL después de /index.php/api/ abra sin tener que iniciar sesión y se pedirá a cualquier otra cosa que inicie sesión.

Ejemplo:

mywebsite.com/index.php/api se abrirá sin que se solicite el inicio de sesión mywebsite.com/index.php/api/soap/?wsdl=1 se abrirá sin que se solicite el inicio de sesión Se solicitará a mywebsite.com que inicie sesión primero

Answer 7

Si está utilizando Apache 2.4, las soluciones temporales SetEnvIf y mod_rewrite ya no son necesarias ya que la directiva Require puede interpretar expresiones directamente:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#
Require valid-user

Apache 2.4 trata las directivas Require que no están agrupadas por <RequireAll> como si estuvieran en un <RequireAny> , que se comporta como una instrucción "o". Aquí hay un ejemplo más complicado que demuestra que coinciden tanto el URI de solicitud como la cadena de consulta, y que se recurre a la necesidad de un usuario válido:

AuthType Basic
AuthName "Please login."
AuthUserFile "/xxx/.htpasswd"

<RequireAny>
    <RequireAll>
        # I''m using the alternate matching form here so I don''t have
        # to escape the /''s in the URL.
        Require expr %{REQUEST_URI} =~ m#^/callbacks/.*#

        # You can also match on the query string, which is more
        # convenient than SetEnvIf.
        #Require expr %{QUERY_STRING} = ''secret_var=42''
    </RequireAll>

    Require valid-user
</RequireAny>

Este ejemplo permitiría el acceso a /callbacks/foo?secret_var=42 pero requiere un nombre de usuario y contraseña para /callbacks/foo .

Recuerde que a menos que use <RequireAll> , Apache intentará hacer coincidir cada Require en orden, así que piense primero en qué condiciones desea permitir.

La referencia para la directiva Require está aquí: https://httpd.apache.org/docs/2.4/mod/mod_authz_core.html#require

Y la referencia de exprés está aquí: https://httpd.apache.org/docs/2.4/expr.html

Answer 8

<location />
        SetEnvIf Request_URI "/callback/.*" REDIRECT_noauth=1

        AuthType Basic
        AuthName "Restricted Files"
        AuthUserFile /etc/httpd/passwords/passwords
        Order Deny,Allow
        Satisfy any
        Deny from all
        Allow from env=REDIRECT_noauth
        Require user yournickname
</location>