FreeBSD基于用户的访问控制

来源：作者：出处：巧巧读书 2007-10-09 进入讨论组

　　更严格、有效的控制方法还是基于用户和对应的口令对浏览客户进行控制。这使得对这个目录进行强制性的保护，浏览器用户必须输入合法的用户名和正确的口令才能浏览网页。

如果要针对用户对访问服务器的客户进行控制，首先就要设置访问控制文件为对用户进行认证，因此要允许目录访问控制文件中具备AuthConfig的设置。

　　设置用户认证需要为这个目录指定AuthName、AuthType和AuthUserFile 指令，AuthUserFile定义一个口令文件，那么此后就可以使用require valid-user命令让客户输入名字和正确的口令，根据这个口令文件对用户的身份进行验证。AuthName定义这个认证的标识，用于返回给浏览器用户，起到提示作用。AuthType定义使用的认证加密类型，通常使用 Basic，即使用Unix的标准加密算法进行加密。

AuthUserFile /usr/local/etc/htpasswd
AuthName SecurityAuth
AuthType Basic
require vaild-user

　　这个例子里，使用/usr/local/etc/htpasswd作口令文件，使用Basic的加密认证方法，并定义AuthName为SecurityAuth。

　　虽然浏览器访问每个使用这种认证方式保护的网页都需要先进行认证，然而不会每访问一次网页都让用户输入用户名和口令，因为浏览器会将用户输入的用户和口令数据保存起来，每次需要认证的时候就自动进行认证操作。由于认证是通过H EAD请求来完成的，因此它不会影响浏览器显示的网页。然而，用户有可能使用浏览器访问了多个不同的对用户进行认证的网页，那么浏览器就会保存了多个不同的用户和口令对，当自动进行认证的时候，浏览器必须区分出应该使用哪个用户名和口令进行认证，而区分就是通过AuthName的值进行的，服务器将首先将AuthName的值传递给客户浏览器，此后浏览器就能发送正确的用户和口令进行认证了。

　　要使用口令文件来认证合法用户，首先就必须生成这个口令文件。当认证类型为Basic时，口令文件与Unix 的passwd文件非常类似，甚至可以直接使用系统passwd文件来作认证文件，当然由于现代Unix使用了sha dow技术，/etc/passwd中并没有保存真实的加密口令，因此直接使用系统passwd文件进行认证只能适合那些没有使用shadow技术的Unix系统。而使用shadow技术的Unix系统的真实口令文件（FreeBSD 下为master.passwd）被保护起来，读取它需要root权限，而Web服务器通常以普通用户的权限运行，不能直接使用系统口令对用户进行认证。如果强制使用root权限启动httpd守护进程来访问shadow之后的口令，那么必然会带来严重的安全漏洞。