Apache 模块 mod_info

安全问题

一旦 mod_info 加载到服务器中，它的处理程序功能就会在所有配置文件中可用，包括每个目录文件（例如，.htaccess）。这可能会对您的网站造成安全相关的影响。

特别是，此模块可能会泄露来自其他 Apache 模块配置指令的敏感信息，例如系统路径、用户名/密码、数据库名称等。因此，此模块仅应在受控环境中使用，并且始终谨慎使用。

您可能希望使用 mod_authz_host 来限制对服务器配置信息的访问。

<Location "/server-info">
    SetHandler server-info
    # Allow access from server itself
    Require ip 127.0.0.1

    # Additionally, allow access from local workstation
    Require ip 192.168.1.17
</Location>

选择显示的信息

默认情况下，服务器信息包括所有已启用模块的列表，以及每个模块的描述，该模块理解的指令，该模块实现的钩子以及当前配置中的相关指令。

通过将查询附加到 server-info 请求，可以获得配置信息的其他视图。例如，http://your.host.example.com/server-info?config 将显示所有配置指令。

?<module-name>

仅与命名模块相关的信息

?config

仅配置指令，不按模块排序

?hooks

仅每个模块附加到的钩子列表

?list

仅已启用模块的简单列表

?server

仅基本服务器信息

?providers

列出服务器上可用的提供程序

启动时转储配置

如果配置定义 -DDUMP_CONFIG 已设置，则 mod_info 将在服务器启动期间将预解析的配置转储到 stdout。

httpd -DDUMP_CONFIG -k start

预解析意味着 <IfDefine> 和 <IfModule> 等指令将被评估，并且环境变量将被替换。但是，它不代表配置的最终状态。特别是，它不代表对重复指令可能发生的合并或覆盖。

这大致等同于 ?config 查询。

已知限制

mod_info 通过读取解析的配置而不是读取原始配置文件来提供其信息。由于解析的配置树的创建方式，存在一些限制

• 立即执行而不是存储在解析的配置中的指令不会列出。这些包括 ServerRoot、LoadModule 和 LoadFile。
• 控制配置文件本身的指令，例如 Include、<IfModule> 和 <IfDefine> 不会列出，但包含的配置指令会列出。
• 注释不会列出。（这可能被认为是一个特性。）
• 来自 .htaccess 文件的配置指令不会列出（因为它们不构成永久服务器配置的一部分）。
• 容器指令（例如 <Directory>）会正常列出，但 mod_info 无法找出关闭 </Directory> 的行号。
• 由第三方模块（例如 mod_perl）生成的指令可能不会列出。