Tun HTTP-Authentifizierung über HTTPS mit URL-rewriting

Gibt es eine relativ beliebte hack zu erzwingen, HTTPS, bevor Sie die Standardauthentifizierung. Zuerst sah ich es hier:

http://blog.jozjan.net/2008/02/htaccess-redirect-to-ssl-https-before.html

Es beinhaltet die Verwendung einer benutzerdefinierten Fehler-Dokument zu handhaben, was passiert, nachdem die HTTPS-überprüfung fehlschlägt.

Ich habe zum Beispiel eine einzelne Seite, die ich brauche, um zu erzwingen von HTTPS auf, also ich habe das in einem .htaccess-Datei:

<FilesMatch "secure-page.php">
    SSLRequireSSL
    ErrorDocument 403 https://www.example.com/secure-page.php
    AuthType Basic
    AuthName "Secure Page"
    AuthUserFile /var/www/whatever/.htpasswdFile
    Require valid-user
</FilesMatch>

Übersetzt:

wenn die angeforderte Seite 'secure-page.php' - wenn nicht HTTPS, dann Umleitung auf eine custom 'Fehler-Seite' - die 'Fehler-Seite' ist eigentlich nur die HTTPS-version der Seite - auf die zweite Anfrage, da die HTTPS-check jetzt geht, führen Sie Basic Auth 🙂

Können Sie erweitern dieses Konzept um ein Verzeichnis oder eine andere Anwendungsfälle - Ihre custom 'Fehler-Seite' könnte eine php-Seite, die leitet auf die richtige HTTPS-URL oder einem CGI-Skript, wie in dem link oben...

Gebäude auf siliconrockstar Antwort, ich bin das hinzufügen einer php-Skript, das wäre in dem Fall, wo Sie möchten, um force-SSL auf alle die Dateien, nicht nur die eine-Datei-Fall gezeigt siliconrockstar. Hier wieder, es funktioniert in Verbindung mit der htaccess-Datei.

Die htaccess zu schützen, um ganze Verzeichnis:

    SSLRequireSSL
    ErrorDocument 403 /yourphp.php
    AuthType Basic
    AuthName "Secure Page"
    AuthUserFile /some_path_above_the_html_root/.htpasswdFile
    Require valid-user

Php genannt, die durch die htaccess (den Pfad für die php-in diesem Beispiel-htaccess ist die Wurzel Ihrer Website), die Kräfte https auf die url, die Sie aufgerufen:

<?php
$path = "https://".$_SERVER['SERVER_NAME'].$_SERVER['REQUEST_URI'];
if ( $_SERVER['SERVER_PORT'] == 80) {
    header("Status: 302 Moved\n");
    header("Location: ".$path."\n\n");
}
else {
    header( "Content-type: text/html\n\n");
    echo "How did you get here???";
}
?>

Wenn Ihre Website nicht über ein SSL-Zertifikat haben, müssen Sie es installieren. Wenn dies Ihre einzige Verwendung für Sie, können Sie installieren Sie ein selbstsigniertes Zertifikat. Auf einem cPanel VPS mit Ihre site auf einer dedizierten IP, das dauert Momenten zu tun: in WHM, besuchen

Einer. Generieren Sie ein SSL-Zertifikat und Signing Request

dann

Zwei. Installieren Sie ein SSL Zertifikat auf einer Domain

Wenn Sie die rewrite-Regeln in der Haupt-config, außerhalb oder oder ähnlich, umschreiben, wird getan werden, bevor die Authentifizierung.

Sehen Rewrite-Tech

Ich bekommen, um es auf diese Weise. Nur Nicht-SSL, da es umgeleitet werden, dann erfordert auth einmal auf SSL...

SetEnvIf %{SERVER_PORT} ^80$ IS_NON_SSL

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

AuthUserFile /.htpasswd
AuthName "Enter your Username and Password:"
AuthType Basic
require valid-user
Allow from env=IS_NON_SSL

Ich habe zwei Antworten auf die Frage, eines mit 2010 Mentalität, und einer mit einem post-2012-Mentalität.

Diese Frage zu beantworten, als ob es war 2010, als es gefragt wurde: die Verwendung von zwei verschiedenen VirtualHost-Konfigurationen.

Diese Lösung ist ein wenig außerhalb des Bereichs der Frage, wie die Implikation ist: "ich habe nur Zugang zu ändern .htaccess!" aber eine tragfähige Lösung in vielen Fällen ist der Antrag, der administrator du jour zu einfach-setup zwei verschiedene VirtualHost-Konfigurationen.

• Den nicht-SSL-VirtualHost ist nicht so konfiguriert, dass Zugriff auf alles auf das Dateisystem, und nur zurückgibt, 301-Weiterleitungen zu https://... Standorte für alle Anforderungen.

• Den SSL-listening-VirtualHost wird dann kostenlos zu implementieren, die Basic-Authentifizierung, ohne befürchten zu müssen, dass das standard-HTTP-listener verschenken der Ware.

Aber mit meinem post-2018 den Hut auf, und stellt fest, dass diese Frage gestellt wurde, bevor Apache 2.4 (Anfang 2012?), es ist Zeit für ein update. Apache 2.4 eingeführt <If condition> prüft, welche macht dies viel einfacher und direkter:

• Erste, nicht IfModule die RewriteEngine. Wie der Apache lauscht auf port 80 und 443 (standard-setup), UND wir wollen die Durchsetzung von SSL, wir wollen den server zu brechen, wenn Sie das Rewrite-Modul ist anders gelöst.

  RewriteEngine On 
  

• Zweiten einfach genug ist, führen Sie eine sofortige und permanente (301) umleiten, wenn die Anfrage nicht sicher ist. Hinweis(R edirect) und L(ast), die zusammenarbeiten, um sicherzustellen, dass nicht-verschlüsselte Anfragen werden umgeleitet und können nicht genutzt werden, um zu gewinnen, nicht authentifizierten Zugriff. (Für die OCD, nicht-kopieren-einfügen gemerkt, beachten Sie die Mangel der Raum zwischen != und on. Das ist Absicht.)

  RewriteCond %{HTTPS} !=on 
  RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,QSA,L,NC]
  

• Schließlich verwenden Sie dieselbe variable mit einem <If-condition> überprüfen, um sicherzustellen, dass wir nur verlangen, das Passwort für die TLS-Anfrage.

  <If "%{HTTPS} == 'on'">
          AuthName "Password please!" 
          AuthType Basic 
          AuthUserFile /path/to/htpasswdfile
          AuthGroupFile /dev/null 
          require valid-user
  </If>
  

Und insgesamt:

# .htaccess

RewriteEngine On

RewriteCond %{HTTPS} !=on
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R=301,QSA,L,NC]

<If "%{HTTPS} == 'on'">
        AuthName "Password please!"
        AuthType Basic
        AuthUserFile /path/to/htpasswdfile
        AuthGroupFile /dev/null
        require valid-user
</If>