Apache .htaccess przekierowanie do HTTPS przed pytaniem do uwierzytelniania użytkownika

Question

To jest mój .htaccess:

RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} 

AuthUserFile /etc/hi 
AuthName "hi" 
AuthType Basic 
require valid-user 

Pyta do uwierzytelniania użytkowników za pomocą protokołu HTTP, co oznacza, że ​​hasło zostanie wysłane w postaci zwykłego tekstu. To spowoduje przekierowanie do wersji https i ponownie poprosi o hasło.

Jak mogę to naprawić?

Answer 1

Obejmuję to w ten sposób. Wystarczy pozwolić Non-SSL, ponieważ zostanie on przekierowany następnie wymagać auth raz na SSL ...

SetEnvIf %{SERVER_PORT} ^80$ IS_NON_SSL 

RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} 

AuthUserFile /etc/hi 
AuthName "hi" 
AuthType Basic 
require valid-user 
Allow from env=IS_NON_SSL 

Answer 2

Jeśli używasz Apache 2.4 można użyć configuration sections rozwiązać to dość łatwo.

Eg ...

# Redirect to HTTPS 
RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R,L] 

# Authenticate users only when using HTTPS 
# Enable for <v2.4 
# SSLRequireSSL 
# ErrorDocument 403 /secure-folder/ 
# Enable for >v2.4 
<If "%{HTTPS} == 'on'"> 
    AuthType Basic 
    AuthName "Special things" 
    AuthUserFile /etc/blah.htpasswd 
    # Prevent this 'Require' directive from overriding any merged previously 
    <IfVersion >= 2.4> 
     AuthMerging And 
    </IfVersion> 
    Require valid-user 
# Enable for >v2.4 
</If> 

Answer 3

webapp naszego klienta jest zainstalowany w swoim katalogu webuser. Autoryzacja jest obsługiwana przed regułami mod_rewrite (https://serverfault.com/a/443185/253111), a nie mogliśmy uzyskać akceptowanej odpowiedzi do pracy, więc mod_rewrite nie wydawało się opcją.

Ostatecznie wyraźnie wymagaliśmy protokołu SSL i użyliśmy katalogu głównego aplikacji przez HTTPS jako dokumenty błędów 403 i 404. Więc kiedy odwiedza się jakąkolwiek stronę za pośrednictwem HTTP (która jest nieautoryzowana, stąd 403) lub nieistniejącą stroną (404), jest przekierowywany do np. https://DOMAIN.TLD/~WEBUSER/admin.

To jest plik .htaccess z dodatkowymi informacjami w komentarzach.

### INFO: Rewrites and redirects are handled after authorisation 
### @link https://serverfault.com/a/443185/253111 

### INFO: Log out of a HTPASSWD session 
### This was not always possible, but Firefox and Chrome seem to end sessions 
### when a new one is trying to be using ie.: 
### https://logout:logout@DOMAIN.TLD/~WEBUSER/ 
### @link http://stackoverflow.com/a/1163884/328272 

### FORCE SSL: Explicitly require the SSL certificate of a certain domain to 
### disallow unsigned certificates, etc. ErrorDocument commands are used to 
### redirect the user to an HTTPS URL. 
### @link http://forum.powweb.com/showthread.php?t=61566 
SSLOptions +StrictRequire 
SSLRequireSSL 
SSLRequire %{HTTP_HOST} eq "DOMAIN.TLD" 

### HTPASSWD AUTHENTICATION 
AuthUserFile /var/www/vhosts/DOMAIN.TLD/web_users/WEBUSER/.htpasswd 
AuthType Basic 
AuthName "Hello" 
Require valid-user 

### ERROR DOCUMENTS: Redirect user in case of a 403/404. 
ErrorDocument 403 https://DOMAIN.TLD/~WEBUSER/admin 
ErrorDocument 404 https://DOMAIN.TLD/~WEBUSER/admin 

Answer 4

Rozwiązanie Molomby działa w wersji 2.4 i wyższej, ale nie działa z obecną wersją Debiana 2.2.22.

Rozwiązania Ben's/Chris Heald również nie działały dla mnie w wersji 2.2.22, ale było to spowodowane inną konfiguracją zamówienia/spełnienia. Te ustawienia zmieniły się w wersji 2.4, a rozwiązanie wydaje się być niezgodne z wersją 2.4 i nowszą (przekierowanie działa, ale przeglądarka wyświetla tylko nieautoryzowany błąd bez pytania o dane uwierzytelniające).

Oto połączenie obu rozwiązań, które powinny działać w wersjach poniżej i powyżej 2,4:

RewriteEngine on 
RewriteOptions Inherit # rewrite rules from parent directories 
RewriteCond %{HTTPS} off 
RewriteRule ^.*$ https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L] 

AuthType Digest 
AuthName "private area" 
AuthDigestProvider file 
AuthUserFile /path/to/file/.htdigest 

<IfVersion < 2.4> 
    Order Deny,Allow 
    Deny from all 
    Satisfy Any # reset this to 'All' in custom <Files> and <Directory> directives that block access 
    Allow from env=!HTTPS 
    Require valid-user 
</IfVersion> 
<IfVersion >= 2.4> 
    <If "%{HTTPS} == 'on'"> 
     AuthMerging And 
     Require valid-user 
    </If> 
</IfVersion> 

Wymagania: mod_rewrite, mod_auth, mod_digest, mod_version

Answer 5

Dziękuję bardzo, Istador!

My Apache w wersji 2.2 (DSM 5.1 Synology NAS), więc te dwa nie działają na nim:

RewriteOptions Inherit 
IfVersion 

Po biorąc je (i sekcję wersji> = 2.4) na zewnątrz. Cała sprawa zaczęła działać dla mnie.

Istnieje wiele sugestii na ten temat. Spędziłem dwa dni, aby je wypróbować.

Ale tylko ten działa dla mnie.

Oto co zrobiłem:

RewriteEngine on 
RewriteCond %{HTTPS} off 
RewriteRule ^.*$ https://%{SERVER_NAME}%{REQUEST_URI} [R=301,L] 

AuthType Basic 
AuthName "private area" 
AuthUserFile /path/to/file/.htdigest 

Order Deny,Allow 
Deny from all 
Satisfy Any 
Allow from env=!HTTPS 
Require valid-user 

Więc to przetestowany na Apache 2.2, Synology DSM 5.1.

Answer 6

Używam Apache 2.2 i żadne z powyższych rozwiązań nie sprawdziło się u mnie. Znalazłem obejście dla mnie here. Zasadniczo, musisz ustawić SSLRequireSSL i użyć jakiegoś języka skryptów w ErrorDocument, aby przekierować użytkowników do HTTPS. Niestety, w moim przypadku działa to tylko podczas uzyskiwania dostępu do konkretnych plików na serwerze, to NIE działa, jeśli tylko domena jest dostarczona. Oto co zrobiłem:

AuthType Basic 
AuthName "Password Protected Area" 
AuthUserFile /my/path/to/.htpasswd 
#Require valid-user 

<FilesMatch "(^(?!ssl.php).*)"> 
     SSLRequireSSL 
     ErrorDocument 403 /ssl.php 
     Require valid-user 
</FilesMatch> 

regex w FileMatch opowiada Apache SSLRequireSSL dla wszystkich plików z wyjątkiem ssl.php - i przekazania użytkownikowi ssl.php jeśli próbuje uzyskać dostęp bez SSL.

Moja ssl.php wygląda następująco:

if(!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] == "" || $_SERVER['HTTPS'] == "off") 
{ 
     $redirect = "https://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']; 
     header("HTTP/1.1 301 Moved Permanently"); 
     header("Location: $redirect"); 
     exit; 
} 

Co teraz się dzieje:

• otwarcie http://example.com/some/file.php przodu do https://example.com/some/file.php i prosi o nazwę użytkownika & hasło.
• Otwieranie https://example.com/ łączy się przez https i pyta o u/p
• Otwarcie https://example.com/some/file.php zasadniczo działa tak samo.
• Otwarcie http://example.com/ przodu do jakiegoś serwera domyślnej strony apache

Ostatnim punktem jest to, co nie jestem zadowolony, jeśli ktoś ma rozwiązanie, że byłbym rad o tym słyszeć. Rzeczy, które próbowałem rozwiązać ten problem:

• Zmieniono wyrażenie regularne na (^ $) | (^ (?! ssl.php). *), Aby jawnie dopasować puste ciągi. Nie działa
• Dodano regułę przepisywania, aby przepisać pusty ciąg do index.php. To też nie działa.

Answer 7

Sprawdzona rozwiązanie https://stackoverflow.com/a/15940387/2311074 działa na Firefox na Ubuntu 16.04, ale to nie działa w Firefoksie na Win 7.

Jeśli chcesz chronić swój folder https://yourdomain.com/securefolder następnie trzeba utworzyć w tym folderze .htaccess o następującej treści:

RewriteEngine On 
RewriteCond %{HTTPS} off 
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} 

SSLRequireSSL 
ErrorDocument 403 https://yourdomain.com/securefolder 
AuthType Basic 
AuthName "Admin" 
AuthUserFile /outside/your/www/folder/.htpasswd 
Require user admin Admin 

Jak to działa jest to, że gdy dzwonisz na stronie internetowej poprzez http:// zamiast https:// będzie przekierowanie do ERR lub stronę. Sztuką jest użycie poprawnego linku z https:// jako domyślnej strony błędu.

Answer 8

Żadne z powyższych nie działało dla mnie, ale tak się stało. Moją jedyną obawą jest to, czy istnieją pewne warunki, w których auth nie jest uruchamiany, umożliwiając dostęp do kogoś bez poświadczeń. Nie jestem pewny, czy są, ale może wy, szczęśliwi ludzie, możecie powiedzieć inaczej.

Ten kod przekierowuje użytkownika innego niż www na adres www i http na adres https, za pomocą.htaccess folder auth.

To jest zawartość pliku .htaccess w katalogu chcesz chronić:

RewriteEngine on 
# ensure www. 
RewriteCond %{HTTP_HOST} !^www\. [NC] 
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}/foldername/$1 [L,R=301] 
# ensure https 
RewriteCond %{HTTP:X-Forwarded-Proto} !https 
RewriteCond %{HTTPS} !=on [NC] 
RewriteRule ^(.*)$ https://%{HTTP_HOST}/foldername/$1 [L,R=301] 

# Apache 2.4 If 
<If "%{HTTPS} == 'on' && %{HTTP_HOST} =~ /www/"> 
AuthType Basic 
AuthName "Protected folder" 
AuthUserFile "/home/etc/.htpasswds/public_html/foldername/passwd" 
require valid-user 
</If>