阿帕奇 dav-svn。明显的安全问题？

Question

在摆弄 svn over http/Apache2 的 Web 界面的自定义外观时，我遇到了一些足够简单的配置说明：

svn-book 声明：

章节存储库浏览小节：

列出存储库

如果您通过 SVNParentPath 指令从单个 URL 提供存储库集合，那么也可以使用 Apache 将所有可用的存储库显示到 Web 浏览器。只需激活 SVNListParentPath 指令：

<Location /svn>
DAV svn
SVNParentPath /var/svn
SVNListParentPath on
...
</Location>

如果用户现在将她的 Web 浏览器指向 URL http://host.example.com/svn/，她将看到所有 Subversion 的列表 位于 /var/svn 中的存储库。 很明显，这可能是一个安全问题，所以这个功能默认是关闭的。

我遗漏的明显安全问题是什么？

Answer 1

这并不完全是一个关键的安全问题 - 更像是一个隐私问题。

它指的是存储库可以是私有的，并且按路径列出它们会公开它们的存在。把它想象成 Apache 中的目录列表——启用后，如果没有索引文件，您将获得该目录中的文件列表。这是一个安全问题，因为人们可能会发现您不希望他们看到的系统内部结构。