拒绝 xmlrpc.php 文件但不记录失败的请求答案

【问题标题】：Deny xmlrpc.php file but don't log the failed requests拒绝 xmlrpc.php 文件但不记录失败的请求
【发布时间】：2019-09-20 17:16:34
【问题描述】：

我将此添加到 WordPress 网站的 .htaccess：

<files xmlrpc.php>
order allow,deny
deny from all
</files>

有效，当有人尝试访问http://example.com/xmlrpc.php 时，会显示此消息：

禁止
您无权访问此服务器上的 /xmlrpc.php。

但是，日志仍然显示 (less /var/log/apache2/error.log)：

[Thu May 02 10:02:03.316061 2019] [access_compat:error] [pid 19467] 
[client 1.2.3.4:49409] AH01797: client denied by server 
configuration: /path/to/xmlrpc.php

如何拒绝访问 xmlrpc.php（可能来自 .htaccess）但阻止它出现在 Apache 日志中？

【问题讨论】：

您可以使用RewriteRule 将其重写到主页，而不是拒绝访问它？这也可以用来帮助隐藏它是一个 wordpress 网站的事实。
@Nick 也许是的，但更一般地说，我想知道如何拒绝对文件的访问，但要避免让日志充满这些请求。
您愿意解释一下为什么人们会希望日志文件撒谎吗？
@arkascha 我在 error.log 中有太多这样的行（可能是机器人？）所以我想减少这些 xmlrpc.php 请求的详细程度
为什么会是个问题？无论如何，您都不会读取这些文件，然后使用 grep 或更复杂的实用程序进行扫描。多少 GB 的日志文件并不重要，不是吗？

标签： php wordpress apache .htaccess xml-rpc

【解决方案1】：

RewriteRule ^(xmlrpc\.php) - [F,L,NC]

使用 [F] 标志会导致服务器向客户端返回 403 Forbidden 状态码。

[L] 标志导致 mod_rewrite 停止处理规则集。

使用 [NC] 标志会导致 RewriteRule 以不区分大小写的方式匹配。

【讨论】：

感谢您的回答。你能用几句话解释一下它的作用吗？ - 做什么？还有 F L NC？
非常感谢！成功了，这些 403 Forbidden 请求不再出现在 error.log 中！

【解决方案2】：

您可能更了解，因为我可以看到您超过 19k 的声誉 :) xmlrpc 在 wp 中默认为 false，不建议打开全局。你应该在.htaccess 或functions.php 中有这样的东西

add_filter('xmlrpc_enabled', '__return_false') rpc 已禁用。

如果不是？然后将其添加到您的functions.php 它将解决您的问题。如果没有解决，请使用插件

拒绝所有人最好使用插件，例如 manuel Manage XML-RPC.

İ如果您只想为自己允许。检查您的.htaccess 中是否没有 rpc false 并添加以下代码以仅对您的 ip 启用。

<Files xmlrpc.php>
  order deny,allow
  deny from all
  allow from 10.123.456.000 //Replace with your ip
</Files>

或仅允许来自 GET,PROPFIND,POST,OPTIONS,PUT,HEAD[403]

RewriteCond %{REQUEST_METHOD} !^(GET|HEAD|POST|PROPFIND|OPTIONS|PUT)$ [NC]
RewriteRule .? - [F,NS,L]

如果您想允许 rpc，请转到此处并按照以下步骤操作： https://www.wikihow.com/Enable-XML-RPC-in-WordPress

【讨论】：