Security - pasta de sites do Apache dentro da pasta Home

Question

É seguro alterar DocumentRoot caminho para alguma pasta no diretório Home do usuário?

Ou é melhor deixá-lo em prática e usar um grupo compartilhado entre o usuário e o servidor Apache, como você pode ver na seguinte solução: link

Li uma coisa ou duas e a minha solução seria a seguinte:

1. Crie um novo user e um novo group somente para o Apache (de preferência, restrinja o acesso ao shell para esse usuário)

2. Em httpd.conf altere diretivas de usuário e grupo para o recém criado user e group

3. Crie uma nova pasta no seu diretório Home para seus sites, por exemplo, Websites\Project1\public_html

4. Altere a propriedade de public_html para a criação anterior de user e group

5. Defina chmod 2775 (com SETGID) para pastas e chmod 664 para arquivos (recursivamente, se necessário)

6. Defina umask 0002

7. Por fim, adicione você mesmo ao group criado na primeira etapa

Answer 1

A melhor maneira (minha opinião) é usar um usuário diferente para o apache (www-data, apache) e usar o seguinte método:

1. crie um local de FTP que tenha os subdiretórios do seu site. Chroot esta localização. Para rastreabilidade eu usaria usuários diferentes se houvesse mais de 1.

2. configure um cronjob (/ etc / crontab com o usuário do apache como o executante) com um script que varre o diretório em busca de novos conteúdos a cada poucos minutos. Se o novo conteúdo encontrado permitir que ele faça um backup dos arquivos no lado do apache (arquivo tar compactado com nome de usuário e timestamp no nome do arquivo) dos arquivos encontrados no lado do ftp.

3. deixe o cronjob copiar os arquivos. Você pode terminar com um email de confirmação de que isso foi feito por 'usuário' e incluir um diff das diferenças.

Caso algo dê errado, você pode

1. acompanhe quem fez isso.
2. o que essa pessoa fez.
3. desfaça o que ele fez.

Não use o documentroot para desenvolvimento. 1 erro de digitação pode matar o site e, em seguida, alguém tem que encontrar este erro de digitação e corrigi-lo.