nlog(n)

MovableType のコンフィグレーションファイル mt.cfg は CGI のあるディレクトリにあり、そのままだとブラウザで読めてしまう。MT Wiki . MT . MtCfg には、mt.cfg を .htaccess で保護する例が紹介されている。

mt.cfg の置いてあるディレクトリ(CGIPath ディレクトリ)に、次の内容の .htaccess を設置する。

これで、「すべての端末からの GET 要求による mt.cfg へのアクセスを禁止」している。

同様のことが、データベースのファイルにも言える。mt.cfg には、DataSource ディレクティブで指定するデータベースは、Web ブラウザでアクセスできないディレクトリを指定するべきある。しかし、デフォルトは ./db、すなわち CGIPath/db であり、通常はブラウザでアクセス可能なディレクトリになる。そこで、./db ディレクトリにも上と同様の .htaccess を設置して保護する。

違うのは、mt.cfg の部分が * になっていることだけである。ちなみに、Limit ディレクティブを書かなければ、GET の他 POST などすべてのメソッドに対する制限となる。

ただし、.htaccess でファイル保護するには、「ユーザの設定がサーバの設定を上書きできる」という設定がサーバでされている必要がある。Apache の httpd.conf であれば、

という設定になる。Limit は、「ファイルへのアクセス制限」の意味で、これによって allow, deny, orderをユーザが設定できるようになる。この「値としての Limit」は、上で出てきた Limit とは意味が違うので注意。上の「ディレクティブとしての Limit」はアクセスメソッドを限定するという意味である。ややこしい。

現時点での VineLinux 2.6 の Apache のバージョンは 1.3.27。

ディレクティブに関しては、本家の Apache HTTP サーバ バージョン 1.3 ドキュメントが詳しい。

2004年8月4日追記:
mt.cfg の保護に関しては、本家のマニュアルに記載がある(Installing Movable Type - Protecting mt.cfg)。

2004年9月8日追記:
MovableType の日本語マニュアルにも翻訳された(Movable Typeのインストール - mt.cfg の保護)。

2005年1月22日追記:
Apache 2.x では，この制限を行っても POST メソッドや不明なメソッドで簡単に破ることができるそうです。Limit を外すことをお勧めします(nlog(n): mt.cfg 「以外」が丸見え)。

• Tweet

Posted by n at 2004-04-14 23:55 | Edit | Comments (1) | Trackback(22)