Apache 模組 mod_authz_core

AuthMerging 指令

當驗證已啟用，通常會由每個後續 組態區段繼承，除非指定不同的驗證指令。這是預設動作，對於顯示設定 AuthMerging Off 的行為一致。

然而，可能會出現某些情境，讓組態區段的驗證 желательно與前一個組態區段的驗證結合，同時這些組態區段正在合併中。對於此狀況，有兩個選項可用，And 和 Or。

當組態區段包含 AuthMerging And 或 AuthMerging Or，它的驗證邏輯會與最近的前一個區段結合（根據組態區段的整體順序），且這個前一個區段也包含驗證邏輯，就好像兩個區段一起都包含在 <RequireAll> 或 <RequireAny> 指令中。

<Directory "/www/docs">
    AuthType Basic
    AuthName Documents
    AuthBasicProvider file
    AuthUserFile "/usr/local/apache/passwd/passwords"
    Require group alpha
</Directory>

<Directory "/www/docs/ab">
    AuthMerging Or
    Require group beta
</Directory>

<Directory "/www/docs/ab/gamma">
    Require group gamma
</Directory>

<AuthzProviderAlias> 指令

<AuthzProviderAlias> 和 </AuthzProviderAlias> 用於封裝一組驗證指令，可以使用指令 Require 透過別名名稱來參照。

如果 Require-Parameters 中需要多個參數，必須用引號引起來。否則，只會考量第一個參數。

# In this example, for both addresses to be taken into account, they MUST be enclosed
# between quotation marks
<AuthzProviderAlias ip reject-ips "XXX.XXX.XXX.XXX YYY.YYY.YYY.YYY">
</AuthzProviderAlias>

<Directory "/path/to/dir">
    <RequireAll>
        Require not reject-ips
        Require all granted
    </RequireAll>
</Directory>

AuthzSendForbiddenOnFailure 指令

如果驗證成功但授權失敗，Apache HTTPD 預設會透過 HTTP 回應傳送回應代碼「401 未授權」。瀏覽器通常會再次顯示密碼對話框給使用者，這並非在所有情況下都是想要的結果。AuthzSendForbiddenOnFailure 可以將回應代碼變更為「403 禁止存取」。

Require 指令

此指令會根據特定授權提供者和指定限制來測試已驗證使用者是否已獲得授權。mod_authz_core提供下列一般性授權提供者

Require all granted

無條件地允許存取。

Require all denied

無條件地拒絕存取。

Require env env-var [env-var] ...

只有在設定其中一個指定的環境變數時，才會允許存取。

Require method http-method [http-method] ...

只允許存取指定的 HTTP 方法。

Require expr expression

如果 expression 評估為 true，則允許存取。

由 mod_authz_user、mod_authz_host 和 mod_authz_groupfile 提供的一些允許語法是

Require user userid [userid] ...

只有指定的名稱使用者可以存取資源。

Require group group-name [group-name] ...

只有指定群組中的使用者可以存取資源。

Require valid-user

所有有效的使用者都可以存取資源。

Require ip 10 172.20 192.168.2

在指定 IP 位址範圍內的用戶端可以存取資源。

Require forward-dns dynamic.example.org

將來自名稱 dynamic.example.org 解析出來的 IP 的用戶端會被允許存取。

mod_authnz_ldap、mod_authz_dbm、mod_authz_dbd、mod_authz_owner 和 mod_ssl 等其他實施選項的授權模組包含中。

在大部分情況中，完整的驗證和授權組態，Require 必須附帶 AuthName、AuthType 和 AuthBasicProvider 或 AuthDigestProvider 指令，以及 AuthUserFile 和 AuthGroupFile（用於定義使用者和群組）等指令才能正常運作。範例

AuthType Basic
AuthName "Restricted Resource"
AuthBasicProvider file
AuthUserFile "/web/users"
AuthGroupFile "/web/groups"
Require group admin

以這種方式套用的存取控制在所有方法中都很有效。這通常是所希望的結果。如果您只想要套用存取控制至特定方法，同時不保護其他方法，請將 Require 陳述放入 <Limit> 部分。

可用 not 選項否決 Require 指令的結果。與其他否決授權指令 <RequireNone> 一樣，當 Require 指令被否決時，它只能失敗或傳回中性結果，因此永遠無法獨立授權請求。

在以下範例中，除了同時在 reject 群組的使用者之外，alpha 和 beta 群組中的所有使用者都已授權。

<Directory "/www/docs">
    <RequireAll>
        Require group alpha beta
        Require not group reject
    </RequireAll>
</Directory>

當多個 Require 指令用於單一 組態部分 中，而且不包含在其他授權指令（例如 <RequireAll>）中時，它們會被隱含包含在 <RequireAny> 指令中。因此，第一個授權使用者的指令會授權整個請求，而後續的 Require 指令會被忽略。

請參閱

• 存取控制技術指南
• 認證容器
• mod_authn_core
• mod_authz_host

<RequireAll> 指令

<RequireAll> 及 </RequireAll> 用於封裝一組身分驗證指令，不得任一失敗，至少一項成功使 <RequireAll> 指令才能成功。

如果在 <RequireAll> 指令中包含的所有指令均未失敗且至少一項成功，則 <RequireAll> 指令成功。若無成功且無失敗，則傳回中性結果。其他所有情況皆失敗。

請參閱

• 認證容器
• 驗證、授權和存取控制

<RequireAny> 指令

<RequireAny> 及 </RequireAny> 用於封裝一組身分驗證指令，其中一項必須成功才能使 <RequireAny> 指令成功。

如果在 <RequireAny> 指令中包含的所有指令中有一項或多項成功，則 <RequireAny> 指令成功。若無成功且無失敗，則傳回中性結果。其他所有情況皆失敗。

請參閱

• 認證容器
• 驗證、授權和存取控制

<RequireNone> 指令

<RequireNone> 及 </RequireNone> 用於封裝一組身分驗證指令，其中不得任一成功才能使 <RequireNone> 指令不失敗。

如果在 <RequireNone> 指令中包含的所有指令中有一項或多項成功，則 <RequireNone> 指令失敗。其他所有情況皆傳回中性結果。因此，與另一個否定身分驗證指令 Require not 類似，它永遠無法獨立授權請求，因為它永遠無法傳回成功結果。然而，它可以用於限制有權存取資源的使用者組。

請參閱

• 認證容器
• 驗證、授權和存取控制