不使用 .htaccess 文件是否存在安全风险？答案

【问题标题】：Is it a security risk not to use a .htaccess file?不使用 .htaccess 文件是否存在安全风险？
【发布时间】：2012-09-27 23:04:12
【问题描述】：

我有一个 Joomla 网站 www.siteA.com 和另一个 Joomla 网站 www.siteA.com/siteB。

我在站点 A 有一个 .htaccess -文件，但在站点 B 没有。

在站点 B 没有 .htaccess 文件是否存在安全风险？

【问题讨论】：

标签： security .htaccess joomla

【解决方案1】：

.htaccess 文件用于覆盖在 apache 配置中设置的其他设置。如果您没有想要更改的内容，那么您不需要（也不应该拥有） .htaccess 文件。

【讨论】：

.htaccess 可以覆盖除 Apache 之外的其他配置设置吗？我记得有 Apache 的替代品。
.htaccess 是一个特定于 apache 的配置文件。但是，由于 apache 如此受欢迎，您可能会发现其他服务器愿意读取和解析 .htaccess 文件，至少在有限的程度上。例如，IIS 有一个扩展，它将解析 .htaccess 中的 mod_rewrite 配置。

【解决方案2】：

为 Joomla! 编写的 .htaccess 文件！主要用于 mod_rewrite 目的，因此您可以获得 SEF URL 而不会 /index.php/ 卡在中间。那里有一些额外的规则来阻止因错误配置的服务器或编码不当的第 3 方扩展而发生的攻击。不必使用此文件来保护核心 Joomla！系统。这是你的最后一道防线，而不是你的第一道防线。

【讨论】：

@jlleblanc：Joomla 安装的第一道防线是什么？
确保您的服务器配置是安全的。 register_globals 设置应为 off。如果您将 Apache 作为您的网络服务器，请使用 mod_suphp 而不是通过 chmod 将文件夹设置为可写。这就是我要开始的地方。

【解决方案3】：

.htaccess 文件是用于在每个目录级别覆盖选项的配置文件。可以从主 apache 配置（通常在 /usr/local/etc/apache* 中）设置这些相同的选项（以及更多）。如果您拥有自己的服务器并正确设置了 Apache 配置，出于性能原因，禁用 .htaccess 实际上可能会有所收获。

未正确配置权限通常会带来安全风险。如何设置它们取决于您。有些人更喜欢启用 .htaccess，这样他们就可以将特定于应用程序的设置放在一起。

回答您关于 Joomla 的具体问题：默认提供的 .htaccess 文件仅用于 URL 重写。这提供了近乎零的安全优势，因此没有 .htaccess 文件应该不是问题。它还为一些旧的第三方模块增加了一些基本的保护。但是，您应该更新或删除它们，而不是依赖 .htaccess

最后，这取决于您所说的安全是什么意思（几乎所有与安全相关的问题都是如此）。

【讨论】：

Joomla 附带的 .htaccess 文件！不仅仅是 URL 重写，但它不会为托管在正确配置的服务器上的核心代码增加任何安全性。它主要防止未正确清理其输入的旧的 3rd 方扩展。

【解决方案4】：

您有权访问主服务器配置文件吗？如果是这样，您根本不应该使用 .htaccess 文件。不正确配置服务器会带来安全风险，但所有配置都应在主配置文件中完成（例如 /etc/apache2/httpd.conf）。

如果您无权访问主服务器配置文件，可能没有 .htaccess 文件不会带来安全风险。通常，编写主服务器配置文件的人不会留下任何重大的安全漏洞（好吧，至少我们希望如此）。但这取决于您网站的具体情况。例如，可以将主服务器配置为在目录中没有索引文件时允许目录列表。如果您有不希望任何人意外找到的文件，这可能会带来安全风险，但否则不会有任何危害。

【讨论】：

您的回答引发了另一个问题：将备份文件夹与 public_html 文件夹保持在同一文件夹级别是否存在安全风险？
只要备份文件夹不在 public_html 文件夹中，并且不能从 Web 访问，应该没问题。如果您的备份文件夹中没有任何敏感内容，即使它们位于 public_html 文件夹下也没什么大不了的。
重点是，在计算机安全方面，很少有简单、通用的答案。我建议您花时间了解一些基本的安全原则，以便您自己决定什么是安全风险。

【解决方案5】：

使用 htaccess 文件是否存在安全风险？我在工作中将一个 htaccess 文件上传到一个公共网络文件夹，以将页面仅限于员工，但被告知我不应该使用 htaccess 文件或编程，否则我会填满整个网站并冒着安全风险。我使用了以前在其他领域工作时使用过的标准 htaccess 文件，没有任何问题。当网站管理员说“使用 htaccess 存在安全风险”时，这是什么意思？

【讨论】：

".htaccess 文件用于覆盖在 apache 配置中设置的其他设置。如果您没有想要更改的内容，那么您不需要（也不应该拥有）.htaccess 文件。” - 因此，如果 Apache 配置处于良好状态，额外的东西总是会带来安全风险，因为错误的风险会增加。