Tôi có thể bảo vệ mật khẩu bằng cách nào nhưng không sống trong khi sử dụng SVN?

Question

Chúng tôi có quy trình làm việc này: Quá trình phát triển được thực hiện trên dev.example.com Các thay đổi được cam kết với SVN, sau đó được xuất sang trang web trực tiếp. Trang web trực tiếp có tại www.example.com

Tôi muốn bảo vệ bằng mật khẩu dev.example.com, nhưng nếu tôi làm điều đó với .htaccess, chúng tôi sẽ sử dụng cùng một .htaccess tại trang web trực tiếp và mật khẩu sẽ nhận mật khẩu cũng được bảo vệ.

Chúng tôi đang sử dụng lưu trữ chia sẻ Dreamhost, tôi có quyền truy cập SSH, nhưng tôi không thể chỉnh sửa tệp cấu hình .conf của Apache.

Chúng tôi không muốn có tệp .htaccess riêng biệt cho dev & trực tiếp và bỏ qua .htaccess trong SVN vì các bản cập nhật cũng được thực hiện đối với .htaccess.

Vì vậy, tôi nên làm gì?

Answer 1

Nếu mod_setenvif được kích hoạt trên máy chủ, bạn có thể thêm video này vào .htaccess tập tin của bạn:

SetEnvIfNoCase ^HOST$ .+ unauthenticated 
SetEnvIfNoCase ^HOST$ ^dev\.example\.com$ !unauthenticated 

AuthType Basic 
AuthName "Secured" 
AuthUserFile /path/to/.htpasswd 
Require valid-user 
Order allow,deny 
Allow from env=unauthenticated 
Satisfy any 

Điều này về cơ bản không là nó đặt một biến môi trường được gọi là "xác thực" nhưng unsets nó nếu HOST (các máy chủ được trình duyệt yêu cầu) chính xác là "dev.example.com". Trong chỉ thị Thư mục, "thỏa mãn bất kỳ" cho Apache biết để cho phép yêu cầu nếu có bất kỳ điều kiện nào được đáp ứng. Điều này có nghĩa là trên "dev.example.com", biến môi trường sẽ không được đặt và như vậy, bạn sẽ được yêu cầu mật khẩu. Đối với bất kỳ máy chủ nào khác, biến sẽ được đặt để Apache sẽ không yêu cầu thông tin đăng nhập.

Answer 2

Bạn có thể bỏ qua .htaccess, giữ nó hoàn toàn khỏi kho lưu trữ của mình. Sau đó, chỉ có hai tệp .htaccess khác nhau trên mỗi máy chủ. Bởi vì chúng bị bỏ qua, chúng sẽ không bị ghi đè trong bản cập nhật SVN.

Answer 3

Thay vì phát triển trên máy chủ từ xa, tại sao không phát triển trên các máy cục bộ của bạn? Bạn có thể tạo các nhánh trong repo của bạn cho từng dev, và hợp nhất các thay đổi của chúng với trunk khi chúng sẵn sàng để được đẩy đến trang web trực tiếp.

Answer 4

Do nó trong cấu hình virtualhost Apache chứ không phải là một tập tin .htaccess (mà thường sẽ nằm trong /etc/apache hoặc /etc/apache2.)

tôi đặt tất cả mọi thứ mà sẽ đi vào .htaccess của tôi ở đây để thay thế. Các cài đặt này thường cần phải khác nhau theo từng lần triển khai, do đó, có ý nghĩa để giữ chúng bên ngoài repo. Nó cũng làm cho ứng dụng của bạn nhanh hơn một chút nếu Apache có thể tải các chỉ thị khi nó khởi động, thay vì từ tệp .htacess trên mọi yêu cầu.

Tôi cũng thường đặt một chỉ thị như thế này trong đó: SetEnv APP_ENV production

Mà sẽ có được thông qua thông qua ứng dụng của bạn và cho phép bạn để phát hiện xem bạn đang ở trong một dev vs môi trường sản xuất và điều chỉnh cài đặt của bạn cho phù .

Tôi cũng giữ một bản sao của tệp conf này được kiểm tra vào thư mục nội dung của repo của tôi để dễ dàng truy cập.

Answer 5

Đặt hai tập tin trong kho của bạn:

• htaccess.dev
• htaccess.live

Thực hiện một kịch bản trong đó có chăm sóc của triển khai bằng cách đầu tiên làm một xuất khẩu của tất cả các file đến máy chủ đích và sau đó đổi tên tệp htaccess chính xác tùy thuộc vào máy chủ mà nó được xuất sang. Tập lệnh nên đơn giản để gọi và triển khai toàn bộ trong một bước, bao gồm việc xử lý tên máy chủ cho máy chủ, v.v.

deploy dev hoặc deploy live là hai dòng lệnh tốt để nhắm tới.

Đối với đăng nhập ssh, bạn sẽ phải nhắc người dùng nhập mật khẩu từ tập lệnh hoặc tốt hơn, sử dụng xác thực dựa trên khóa để đăng nhập tự động.

Answer 6

Bạn nên thực sự giữ cho môi trường phát triển và sản xuất của mình càng tách biệt càng tốt. Tôi khuyên bạn nên đánh giá lại mong muốn ban đầu của mình để sử dụng tệp tin chia sẻ .htaccess. Theo kinh nghiệm của tôi, các tệp máy chủ như .htaccess thường không được cập nhật thường xuyên, vì vậy nó sẽ không gây rủi ro cho năng suất.

Nếu bạn đang sử dụng máy chủ ảo, bạn có thể đặt mã ủy quyền trong tệp đó (tệp cấu hình httpd hoặc vhosts), cho phép bạn vẫn sử dụng tệp .htaccess được chia sẻ.

Answer 7

Hai đề xuất đơn giản - không yêu cầu .htaccess hoặc cấu hình máy chủ.

1) Nếu bạn đang xây dựng trên khung CMS như Wordpress, bạn có thể chỉ cần đặt cài đặt bảo mật cho trang web (bảng điều khiển> cài đặt) thành mật khẩu được bảo vệ trên trang web dev và vì tất cả các cài đặt đó đều được quản lý cơ sở dữ liệu , bạn chỉ có thể đặt trang web trực tiếp thành công khai.

... HOẶC ...

2) Phát triển cục bộ và đẩy tới cài đặt được bảo vệ bằng mật khẩu riêng.

Answer 8

Do một nhập khẩu trong tiêu đề của tập tin của bạn để kéo trong một file include("permission.php")

trên dev.example.com: permission.php

<?PHP 
    // Do a password check 
?> 

trên www.example.com: phép .php

<?PHP 
    // Just an empty file 
?> 

trên trang web dev nó sẽ thực hiện những gì cần phải làm cho passwording, nhưng trên trang web trực tiếp nó sẽ làm nothi ng tất cả.

Answer 9

@formicin,

Tôi giả định rằng mục tiêu chính là giữ cho mắt tò mò tránh xa nội dung của bạn.

Nếu logic được triển khai trong mã (và không phải thông qua cấu hình Apache), bạn có thể sử dụng tên máy chủ được chỉ định trong chính yêu cầu HTTP.

$dev_server = "dev.mysite.com"; 
$hostname_used_to_access_site = $_SERVER['SERVER_NAME']; 

if (strcasecmp($hostname_used_to_access_site, $dev_server) == 0) { 
    // The server name sent by the browser matches the name 
    // of the dev server, so check for a valid session. If 
    // the user hasn't already logged in, redirect to a 
    // login page. 
} 

Điều này có thể được đưa vào tệp chung bao gồm hoặc ở đầu mỗi trang. Lưu ý rằng mã sẽ giống nhau giữa dev và production, nhưng giá trị của $_SERVER['SERVER_NAME'] sẽ làm cho mã đăng nhập chỉ được thực thi trên máy chủ dev.

Vui lòng nhận xét nếu tôi đã bỏ lỡ nhãn hiệu hoặc nếu bạn muốn làm rõ về cách xử lý thông tin đăng nhập.

Cảm ơn!