Apache: diferença de segurança entre a pasta na raiz da web e o alias?

Question

Ao veicular um site com o Apache, há duas maneiras de saber como colocar algum conteúdo em "servername / foo":

1. Coloque-o na raiz da web em uma pasta chamada 'foo'
2. Crie um alias

Como exemplo de # 2, o XAMPP tem essas instruções em um arquivo de configuração:

Alias /phpmyadmin "C:/xampp/phpMyAdmin/"

<Directory "C:/xampp/phpMyAdmin">
   AllowOverride AuthConfig
   Order allow,deny
   Allow from all
</Directory>

... O que significa "se o servidor for localhost e alguém visitar localhost / phpmyadmin, mostre-lhes o conteúdo de C: / xampp / phpMyAdmin, considerando o seguindo permissões . "

Neste exemplo, dado que o phpMyAdmin é acessível a partir do mesmo URL, importa de uma perspectiva de segurança se está na pasta raiz da web ou apenas com um alias para parecer como se fosse?

    

Answer 1

Para o apache "normal" (estático) e se você restringir o exemplo a um cenário apertado de 1: 1: não, não importa. Hipoteticamente, se você misturar, mascarar e perder a noção de quais permissões são herdadas, talvez expor algo que você não quis dizer.

Acredito que o mais importante é facilitar a criação de uma ramificação de código distinta (e possivelmente, portanto, gravada nela) por um usuário separado daquele usado para o servidor da Web e a raiz do documento. Isso é necessário para uma embalagem confiável, e a embalagem confiável é uma parte importante da segurança a longo prazo.

Tenha também em mente que os módulos do Apache podem ser bastante flexíveis. Portanto, embora o material principal do apache não se comporte de maneira diferente, os módulos de autenticação de terceiros ou até mesmo as configurações do php, como open_basedir e include_path, podem variar o comportamento.

    

Answer 2

Não.

A declaração do diretório se aplica a um DIRETÓRIO. Não importa onde no sistema este diretório exista.

Observe que o recuo em sua pergunta implica algum tipo de relação entre as linhas Alias e Diretório, o que não está realmente lá.