特定目录和文件的 Apache 动态 IP 白名单

Question

我正在尝试将 IP 动态列入白名单以授予对特定目录的访问权限。一个 php 脚本将不断修改 whitelist.txt 文件以添加/删除条目。

我知道使用 RewriteMap 处理这个问题的正确方法，但我不确定如何设置它。

例如，我希望用户在访问 example.com 时能够正常访问我的网站，但是我想拒绝所有访问块路径/目录“http://example.com/block”中的任何内容的用户访问，但白名单中的那些 IP 地址除外.txt，此外，whitelist.txt 中的那些 IP 地址将只能访问“块”目录中的特定文件夹和文件，请求 eg：

http://example.com/block/123/123.txt

我已经尝试了下面的代码（这是一个粗略的草图，我敢肯定它完全是错误的，但只是为了理解）：

RewriteEngine on

RewriteCond %{THE_REQUEST} ^\/block+\ ##apply rules only for /block directory

RewriteMap ipmap txt://var/whitelist.txt

RewriteCond ${ipmap:%{REMOTE_ADDR}} ^\/([0-9]*).txt$ $1 [NC] ##check whitelist for matching IP AND specific dir and file

RewriteRule .* - [F,L]

这当然行不通。当我访问 example.com 时，我的网站会进入无限重定向循环。

whitelist.txt 文件如下所示：

170.172.100.162 123
152.109.211.250 43
62.55.254.83 2345
227.202.162.48 32
203.52.248.55 533

所以 IP 地址 170.172.100.162 将可以访问http://www.example.com/block/123/123.txt

IP 地址 152.109.211.250 将可以访问http://www.example.com/block/43/43.txt

... 等等。

Answer 1

我已经从你的规则开始玩了一点，并得到了这个：

RewriteEngine On

RewriteCond %{THE_REQUEST} \/block\/? 
# apply rules only for /block directory

RewriteMap ipmap txt:/var/whitelist.txt

RewriteCond ${ipmap:%{REMOTE_ADDR}} ^$ [NC]
RewriteRule .* /block [R=403,L]
# redirect to /block with 403 when IP address not in the whitelist 

RewriteCond %{REQUEST_URI} /+[^\.]+$ [NC]
# stops when the request finds a dot '.', assuming a file
RewriteCond ${ipmap:%{REMOTE_ADDR}} ^\d+$ [NC]
# does the redirect only when the IP is in the whitelist
RewriteRule .* /block/${ipmap:%{REMOTE_ADDR}}/${ipmap:%{REMOTE_ADDR}}.txt [R=permanent,L] 
# will redirect everything from /block to /block/x/x.txt -> x = numeric value corresponding to the request IP from the whitelist.txt file

经过测试，它的工作原理如下：

• 访问http://example.com -> 没有重定向，进入索引页面
• 访问http://example.com/block -> 重定向到http://example.com/block/123/123.txt并显示txt文件内容
• 从网络上的不同设备访问http://example.com/block -> 重定向到白名单文件中的相应条目

希望这会有所帮助。

编辑：

• 如果在 whitelist.txt 中找不到 IP，则会执行重定向到 /block 并使用 403 代码

编辑 2：

目前任何拥有 whitelist.txt 文件 IP 的用户都可以访问其他用户目录。我试图找到一个条件，但没有真正找到任何东西。所以我现在能想到的是在目录级别拥有.htaccess 文件，如下所示：

deny from all
allow from 1.2.3.4
#1.2.3.4 is arbitrary