.htaccess

Die Datei .htaccess (engl. hypertext access, dt. Hypertext-Zugriff) ist eine Konfigurationsdatei, in der auf Webrechnern mit NCSA-kompatibler Webserver-Software (z. B. Apache HTTP Server) verzeichnisspezifische Einstellungen vorgenommen werden können. Beispielsweise lässt sich dort ein Zugriffsschutz für ein Verzeichnis oder einzelne Dateien einrichten. Aber auch Fehlerseiten oder interne Verknüpfungen ("rewrite rules") lassen sich hierüber einstellen, ohne den Webserver neu starten zu müssen: Änderungen in der Datei ".htaccess" treten sofort in Kraft. In diesen Dateien vorgenommene Einstellungen gelten im Gegensatz zu zentralen Konfigurationsdateien (z. B. "httpd.conf") nur für das Verzeichnis, in dem sie gespeichert sind, sowie allen Unterverzeichnissen. Sie können in den Unterverzeichnissen jedoch wieder überschrieben werden.

Konfiguration

Es gibt drei Konfigurationsdateien.

.htaccess	Die Zugriffsdatei, die Zugriffsregeln (allow, deny), den Standort der Konfigurationsdateien, die Authentifizierungsmethode und anderes speichert.
.htgroup	Die Gruppendatei, die Informationen über die Mitglieder einer Gruppe speichert. Die Datei wird nur benötigt, wenn eine Gruppenzugriffskontrolle implementiert werden soll.
.htpasswd	Die Passwortdatenbank, welche die Paare aus Benutzername und Passwort speichert.

Damit die ".htaccess"-Dateien Einstellungen verändern dürfen, muss der Apache HTTP Server in der Datei "/etc/apache2/sites-available/default" entsprechend konfiguriert werden.

$ sudo vi /etc/apache2/sites-available/default
<Directory /var/www/>
  Options       Indexes FollowSymLinks MultiViews
  AllowOverride AuthConfig
  Order         allow,deny
  allow         from all
</Directory>

Nach einem Neustart von Apache funktionieren nun die selbst erstellten ".htaccess"-Dateien.

$ sudo /etc/init.d/apache2 restart

Anwendungsbeispiele

Standardauthentifizierung

Die Passwortdaten werden aus Sicherheitsgründen nicht in der Datei ".htaccess" gespeichert, sondern in einer separaten Datei. Diese Datei darf sich auch ausserhalb der öffentlich zugänglichen Webverzeichnisse befinden. In einem geeigneten Verzeichnis wird mit htpasswd (unter Umständen "htpasswd2") eine neue Passwortdatei (hier ".htpasswd") mit dem Benutzer "mik" erzeugt.

$ cd /home/mik
$ /usr/bin/htpasswd -c .htpasswd mik
New password: 
Re-type new password: 
Adding password for user mik

Für jeden weiteren Benutzer wird die Eingabe ohne den Schalter "-c" wiederholt (der steht für "create" und erzeugt die Datei).

$ /usr/bin/htpasswd .htpasswd abc

Erstellen der neuen (versteckten) Zugriffsregelndatei ".htaccess" im zu schützenden Verzeichnis. Die Verwaltung der Nutzerzugriffe für das entsprechende Verzeichnis wird nun ab sofort durch den Apache HTTP Server erfolgen.

$ vi .htaccess
AuthAuthoritative Off
AuthName          mik
AuthType          Basic
AuthUserFile      /home/mik/.htpasswd
require           valid-user
#<Files *.php>
#Require user mik
#</Files>

Soll eine ganz bestimmte Datei auf diesem Wege geschützt werden, so kann folgender Trick angewendet werden. Die Datei "xyz.php" wird dabei geschützt, fordert die Eingabe von Benutzername und Passwort und leitet den Nutzer dann auf das ungeschützte Skript weiter.

<meta http-equiv="refresh" content=0; url=/script/xyz.php">

Eine andere Konfiguration könnte wie folgt aussehen.

AuthUserFile  /home/mik/.htpasswd
AuthGroupFile /dev/null
AuthName      mik
AuthType      Basic
<Limit GET POST>
require user mik
</Limit>

Digest-basierte kryptographische Authentifizierung

In diesem Fall können mit Sniffern daherkommende Angreifer keine Passwörter ernten.

Erzeugen einer neuen Passwortdatenbank mit MD5-Digest-Authentifizierung unter dem Namen ".htdigest" mit dem Benutzer "mik".

$ cd /home/mik/public_html
$ /usr/sbin/htdigest2 -c .htdigest [AuthName-in-.htpasswd] mik

Anpassung der Zugriffsregelndatei.

$ vi .htaccess
AuthUserFile /home/mik/public_html/.htpasswd
AuthGroupFile /dev/null
AuthDigestFile /home/mik/public_html/.htdigest
AuthName mik
AuthType Digest
<Limit GET POST>
require user mik
</Limit>

Weblinks

Herausgeber	Sprache	Webseitentitel	Anmerkungen