Apache 模块 mod_authz_core

AuthMerging 指令

当启用授权时，它通常会由每个后续的 配置部分 继承，除非指定了不同的授权指令集。这是默认操作，对应于显式设置 AuthMerging Off。

但是，在某些情况下，可能希望将配置部分的授权与它的前驱者的授权结合起来，同时合并配置部分。对于这种情况，有两个选项可用，And 和 Or。

当配置部分包含 AuthMerging And 或 AuthMerging Or 时，它的授权逻辑将与最近的前驱者（根据配置部分的总体顺序）的授权逻辑结合起来，该前驱者也包含授权逻辑，就好像这两个部分都共同包含在一个 <RequireAll> 或 <RequireAny> 指令中一样。

<Directory "/www/docs">
    AuthType Basic
    AuthName Documents
    AuthBasicProvider file
    AuthUserFile "/usr/local/apache/passwd/passwords"
    Require group alpha
</Directory>

<Directory "/www/docs/ab">
    AuthMerging Or
    Require group beta
</Directory>

<Directory "/www/docs/ab/gamma">
    Require group gamma
</Directory>

<AuthzProviderAlias> 指令

<AuthzProviderAlias> 和 </AuthzProviderAlias> 用于包含一组授权指令，这些指令可以通过使用 Require 指令的别名来引用。

如果 Require-Parameters 中需要多个参数，则必须将它们括在引号中。否则，只考虑第一个参数。

# In this example, for both addresses to be taken into account, they MUST be enclosed
# between quotation marks
<AuthzProviderAlias ip reject-ips "XXX.XXX.XXX.XXX YYY.YYY.YYY.YYY">
</AuthzProviderAlias>

<Directory "/path/to/dir">
    <RequireAll>
        Require not reject-ips
        Require all granted
    </RequireAll>
</Directory>

AuthzSendForbiddenOnFailure 指令

如果身份验证成功但授权失败，Apache HTTPD 默认情况下将以 '401 UNAUTHORIZED' 的 HTTP 响应代码进行响应。这通常会导致浏览器再次向用户显示密码对话框，这在所有情况下都不希望出现。 AuthzSendForbiddenOnFailure 允许将响应代码更改为 '403 FORBIDDEN'。

Require 指令

此指令测试已验证用户是否根据特定授权提供者和指定的限制获得授权。 mod_authz_core 提供以下通用授权提供者

Require all granted

无条件允许访问。

Require all denied

无条件拒绝访问。

Require env env-var [env-var] ...

仅当设置了给定的环境变量之一时才允许访问。

Require method http-method [http-method] ...

仅允许对给定的 HTTP 方法进行访问。

Require expr expression

如果 expression 评估为 true，则允许访问。

由 mod_authz_user、mod_authz_host 和 mod_authz_groupfile 提供的一些允许的语法是

Require user userid [userid] ...

只有命名的用户才能访问资源。

Require group group-name [group-name] ...

只有命名的组中的用户才能访问资源。

需要有效用户

所有有效用户都可以访问资源。

需要 IP 10.172.20.192.168.2

指定 IP 地址范围内的客户端可以访问资源。

需要正向 DNS dynamic.example.org

从名称 dynamic.example.org 解析出 IP 地址的客户端将被授予访问权限。

实现 require 选项的其他授权模块包括 mod_authnz_ldap、mod_authz_dbm、mod_authz_dbd、mod_authz_owner 和 mod_ssl。

在大多数情况下，为了完成身份验证和授权配置，Require 必须与 AuthName、AuthType 和 AuthBasicProvider 或 AuthDigestProvider 指令以及 AuthUserFile 和 AuthGroupFile 等指令（用于定义用户和组）一起使用才能正常工作。示例

AuthType Basic
AuthName "Restricted Resource"
AuthBasicProvider file
AuthUserFile "/web/users"
AuthGroupFile "/web/groups"
Require group admin

以这种方式应用的访问控制对所有方法都有效。这通常是期望的结果。如果您希望仅对特定方法应用访问控制，而将其他方法保持不受保护，则将 Require 语句放在 <Limit> 部分中。

可以使用 not 选项否定 Require 指令的结果。与其他被否定的授权指令 <RequireNone> 一样，当 Require 指令被否定时，它只能失败或返回中性结果，因此可能永远无法独立授权请求。

在以下示例中，alpha 和 beta 组中的所有用户都被授权，除了那些也在 reject 组中的用户。

<Directory "/www/docs">
    <RequireAll>
        Require group alpha beta
        Require not group reject
    </RequireAll>
</Directory>

当在单个 配置部分 中使用多个 Require 指令，并且没有包含在另一个授权指令（如 <RequireAll>）中时，它们隐式地包含在 <RequireAny> 指令中。因此，第一个授权用户的指令将授权整个请求，后续的 Require 指令将被忽略。

另请参阅

• 访问控制指南
• 授权容器
• mod_authn_core
• mod_authz_host

<RequireAll> 指令

<RequireAll> 和 </RequireAll> 用于将一组授权指令括起来，这些指令中不能有任何指令失败，并且至少要有一条指令成功，才能使 <RequireAll> 指令成功。

如果 <RequireAll> 指令中包含的指令都没有失败，并且至少有一条指令成功，则 <RequireAll> 指令成功。如果没有任何指令成功，也没有任何指令失败，则它将返回中性结果。在所有其他情况下，它将失败。

另请参阅

• 授权容器
• 身份验证、授权和访问控制

<RequireAny> 指令

<RequireAny> 和 </RequireAny> 用于将一组授权指令括起来，这些指令中至少要有一条指令成功，才能使 <RequireAny> 指令成功。

如果 <RequireAny> 指令中包含的一条或多条指令成功，则 <RequireAny> 指令成功。如果没有任何指令成功，也没有任何指令失败，则它将返回中性结果。在所有其他情况下，它将失败。

另请参阅

• 授权容器
• 身份验证、授权和访问控制

<RequireNone> 指令

<RequireNone> 和 </RequireNone> 用于将一组授权指令括起来，这些指令中不能有任何指令成功，才能使 <RequireNone> 指令不失败。

如果 <RequireNone> 指令中包含的一条或多条指令成功，则 <RequireNone> 指令失败。在所有其他情况下，它将返回中性结果。因此，与其他被否定的授权指令 Require not 一样，它永远无法独立授权请求，因为它永远无法返回成功结果。但是，它可以用来限制有权访问资源的用户集。

另请参阅

• 授权容器
• 身份验证、授权和访问控制