[HTML] Verzeichnisschutz mit .htaccess

[TheMiller]

Hallo,

ich versuche gerade, ein Verzeichnis mit .htaccess zu schützen. Allerdings sollten die Dateien, die in dem Verzeichnis liegen per PHP mit include aufgerufen werden können. Hier soll also nur der Direktzugriff eingeschränkt werden. Geht das überhaupt?

Beispiel:

/geschuetzt/connect.php
/index.php

Die index.php includet die Datei "connect.php" aus /geschuetzt.

Aber niemand soll http://domain.tld/geschuetzt/connect.php aufrufen können.

Ich habe es nicht hinbekommen.

Danke

[himitsu]

Wenn du da keine Ausgabe machst, sondern nur Variablen übergibst, dann ist es doch egal?
> siehe config.php in phpBB

Notfalls kannst du ja in connect.php prüfen ob dieses direkt aufgerufen, oder includiert wurde.


ansonsten, wie sieht denn deine .htaccess aus und wo liegt sie?

[TheMiller]

Nagut, das Beispiel mit der connect.php war doof. Ich dachte eher an Bilder oder andere Dateien, die vor Direktzugriff geschützt werden sollen.

Meine .htacces sieht mittlerweile so aus:

Code:

<Files *>
Order deny,allow
Deny From all
</Files>

Habe auch statt <Files *> schon <Files *.jpg> gesetzt. Aber eine Sperrung war immer ganz oder garnicht. D.h, dass diese Bilder etc auch nicht mehr angezeigt werden können, da der Server den gesamten Zugriff sperrt.

[Cyberbob]

Soweit ich weiss, kan mit mit htaccess nur den direktzugriff vom Client steuern. Locale Scripts und Programm haben immer vollen zugriff, abhängig von den Dateiatributen.
Tust du die Dateien per PHP auslesen und dynamisch einbinden oder erzeugst du htmlcode, der auf diese Dateien verlinkt

[arbu man]

Zitat:

Zitat von himitsu

Wenn du da keine Ausgabe machst, sondern nur Variablen übergibst, dann ist es doch egal?
> siehe config.php in phpBB

Notfalls kannst du ja in connect.php prüfen ob dieses direkt aufgerufen, oder includiert wurde.

ansonsten, wie sieht denn deine .htaccess aus und wo liegt sie?

Nun wenn du aber eine solche Zeile hast:

Code:

include($rootpath."file.php");

Dann hast du eine Sicherheitlücke...

@Topic: ne htaccess wie oben beschrieben bietet besten Schutzt, und da php das Dateisystem für includes benutzt geht alles wunderbar.

[TheMiller]

Wenn ich aber eine Datei aus einem solchen Ordner einbinde (include), dann kann die Datei nicht aufgerufen werden.

[himitsu]

Zitat:

Zitat von DJ-SPM

Wenn ich aber eine Datei aus einem solchen Ordner einbinde (include), dann kann die Datei nicht aufgerufen werden.

Was aber dann nicht an der .htaccess liegen kann.

FTP und PHP gehen einen anderen (direkten) Weg.
Die .htaccess wird suzusagen nur von HTML verwendet und ist somit für den Zugriff von außen zuständig.

Hast du mal die .htaccess entfernt und es ohne versucht?

[RobertP]

EDIT:
Ich glaub du hast da was falsch verstanden. Bilder in HTML werden immer per Direktzugriff geladen. Das was du willst geht also nicht.

[CodeX]

statt die bilder per php einfach nur anzuzeigen, kannst du den "inhalt" der bilder binär einlesen und unverändert wieder als generierten inhalt ausgeben.
bei downloads, deren quelle man nicht direkt sehen soll, macht man das zumindest so. dabei wird nicht auf die datei verlinkt, sondern der inhalt der datei wird per php ausgeliefert.

(das ist keine lösung, sondern mehr ein denkansatz)

[TheMiller]

Ok Jungs und Mädels..

Jetzt nochmal zum Schutz von Verzeichnissen mit htaccess-Dateien.

Meine Datei sieht so aus (hatte auch schon viele andere Varianten)

Code:

AuthUserFile /css/.htpasswd
AuthGroupFile /dev/null
AuthName ""
AuthType Basic
<Limit GET>
require valid-user
</Limit>
Options -Indexes

Wenn ich jetzt die Internetseite öffne, dann kann die Stylesheet-Datei nicht mehr gelesen werden, da sie von der htaccess mit geschützt wird. Aber warum? Das verstehe ich nicht. Lösche ich diese Datei, dann läd sie auch die style.css mit... Aber warum?

[alcaeus]

Teil 1: du brauchst kein /dev/null fuer das AuthGroupFile.
Teil 2: Das AuthUserFile wird so wohl nicht gefunden werden, du musst naemlich absolute Pfade angeben. Das tust du eigentlich auch, aber ich bin mir ziemlich sicher dass es den pfad /css nicht auf deinem System gibt.
Teil 3: Die Begrenzung auf GET ist wohl ziemlich dumm. Mit POST soll man noch ohne Probleme drankommen? Na das nenn ich Sicherheit.

Greetz
alcaeus

[TheMiller]

Was den dritten Punkt angeht, hast du recht. Das ist mir aber auch klar - ist nur ein Test...

also, muss ich zum bsp: /home/[user]/public/css als Pfad angeben, stimmts?

[alcaeus]

Wenn die Datei da liegt, ja.

Greetz
alcaeus

[S2B]

Zitat:

Zitat von DJ-SPM

ich versuche gerade, ein Verzeichnis mit .htaccess zu schützen. Allerdings sollten die Dateien, die in dem Verzeichnis liegen per PHP mit include aufgerufen werden können. Hier soll also nur der Direktzugriff eingeschränkt werden. Geht das überhaupt?

Also wenn das immer noch mit deiner aktuellen Frage übereinstimmt, kannst du auch einfach diese .htaccess verwenden:

Code:

Deny from all

Das verhindert jeglichen Zugriff von außen auf das Verzeichnis, in dem diese .htaccess liegt (und natürlich alle Unterverzeichnisse).

[TheMiller]

Ok, also:

ich habe mal ein Textdokument erstellt, diese Code-Zeile eingefügt und unter dem Namen ".htaccess" unter dem Ordner CSS gespeichert. In dem darüberliegendem Document-root habe ich eine HTML-Datei erstellt und ein Bild folgendermaßen eingebunden

Code:

[img]css/bild.jpg[/img]

Resultat: Es kann nicht angezeigt werden (rotes x)

Was mache ich falsch??

[DGL-luke]

Nichts.

Behaviour as expected.

Der Browser holt das html file. er sieht: ich muss ein stylesheet nachladen. er setzt also einen get-request für das stylesheet an den browser ab. der sagt aber nur "530 access denied".

EDIT: Was du vielleicht noch nicht weißt: PHP arbeitet vollständig unabhängig vom Webserver. Und nur der Webserver interpretiert die .htaccess-Dateien.

[Matze]

Wie wäre es, mal Google zu befragen? Da findest zu zahlreiche Lösungsansätze wie beispielsweise diesen hier. Anstelle der IP trägst du natürlich deine Domain ein.

[TheMiller]

Ok, das ist eine tolle Sache... Ich dachte, dass sowas auch mit htaccess funktioniert.

Dankeschön