Komplexe .htaccess

[moritz]

Guten Abend!

Ich habe ein kleines Problem mit der Erstellung einer .htaccess-Datei und komme leider nicht mehr weiter.

Das Szenario ist folgendes: Ich habe mir einen Digitalen Bilderrahmen zugelegt, der Bilder per RSS-Feed von meinem Server lädt. Leider unterstützt der Rahmen keine Passwort-Abfrage. Deswegen würde ich die Bilder gerne auf eine andere Art schützen und dachte dabei an .htaccess. Leider sendet der Bilderrahmen auch keinen User-Agent (die Anfrage ist ziemlich nackt *g*), weswegen das wegfällt.

Allerdings sendet der Rahmen immer nur zwei Anfragen:
/var/albums/*
/index.php/rss/*

Mir wäre es schon Sicherheit genug, nur diese beiden Anfragen "pauschal" zuzulassen. Dafür habe ich folgenden Code:

Code:

RewriteCond %{QUERY_STRING} !/var/albums/.*
RewriteCond %{QUERY_STRING} !/index.php/rss/.*

Jetzt würde ich allerdings gerne alle andere Anfragen durch eine .htaccess-Passwortabfrage schützen...und genau da finde ich leider nicht, wie ich das machen kann.

Kann mir jemand eine Tipp geben?

Vielen Dank und liebe Grüße,
Moritz

[Mithrandir]

Was passiert, wenn du nach deinen Ausdrücken

Code:

AuthType Basic
AuthName "Geheime Bilder"
AuthUserFile FILE
require valid-user

einfügst und hier http://www.ekiwi.de/tools/htaccess/index.php dir eine Passwort-Datei generierst?

Denn wie es aussieht, prüfst du ja, ob der Ausdruck nicht im Querystring ist.

[SirThornberry]

Die URL welche der Bilderrahmen abfragt kannst du doch angeben oder?
Entsprechend könntest du auf deinem Webserver die Daten einem einem kryptisch benanntem Ordner hinterlegen was einem Passwort welches per GET übermittelt wird gleich kommt (von der Sicherheit).
Natürlich ginge auch ein Script welches ein per GET übermitteltes Passwort prüft und entsprechend dann das Ergebnis liefert.
Oder muss es unbedingt eine Lösung per .htaccess sein?

[moritz]

Danke erstmal für die Antworten!

Das Problem mit der PW-Abfrage ist, dass sie ja nur erscheinen darf, wenn nicht /index.php/feed/* oder /var/albums/* aufgerufen wird, und mod_rewrite macht mir da ja keine Bedingung draus, oder?

Leider kann ich den URL nicht angeben, da die Bilder über "Gallery 3" verwaltet werden ... deswegen bin ich wohl oder übel auf .htaccess angewiesen.

Im Prinzip bräuchte ich sowas:

Code:

AuthType Basic
AuthName "Passwortabfrage"
AuthUserFile .htpasswd
require valid-user

#Zugriff erst nach Passwortabfrage oder wg. Verzeichniss
order deny,allow
deny from all
allow "/index.php/feed/*"
allow "/var/albums/*"
satisfy any

Leider habe ich noch nicht viel Erfahrung mit htaccess...

Viele Grüße!

[generic]

Du musst mit
Files, FilesMatch, Directory oder den DirectoryMatch Direktiven arbeiten.
http://httpd.apache.org/docs/2.2/mod...tml#filesmatch

Dort kannst du dann den Schutz bzw. die

Code:

AuthType Basic
AuthName "Passwortabfrage"
AuthUserFile .htpasswd
require valid-user

Sachen nutzen.

Aber auf dein ursprüngliches Problem zu kommen, klar kannst du User und Passwort vom Rahmen übermitteln lassen.
Setze die Auth mit in die Uri, welche die Sachen abrufen.
http://de.wikipedia.org/wiki/Uniform_Resource_Locator

[moritz]

Ok, ich damit jetzt mal was gebastelt:

Code:

SetEnvIfNoCase User-Agent .*Firefox.* alwd


Order Deny,Allow
Satisfy any
Deny from all
Allow from env=alwd


<LocationMatch "/">  
   Allow from all
</LocationMatch>


AuthUserFile .../Pfad.../.htpasswd
AuthName "Galerie"
AuthType Basic
require valid-user

Wenn ich den LocationMatch - Teil rausnehme, klappt alles. Ist er drin, bekomm ich einen 500er Error - leider habe ich keinen Zugriff zum Error Log.

Kann sich jemand erklären, warum das so ist?

(Leider spinnt der Rahmen, wenn ich das Passwort per URL übergebe... Aber sonst ne super Idee!)

[Valle]

Zitat:

Zitat von moritz

Wenn ich den LocationMatch - Teil rausnehme, klappt alles. Ist er drin, bekomm ich einen 500er Error - leider habe ich keinen Zugriff zum Error Log.

Hier unter Kontext steht geschrieben, dass ein LocationMatch in einer htaccess-Datei nicht erlaubt ist. Du musst diese in die Server Konfiguration direkt schreiben, brauchst also Root-Zugriff auf die Maschine. (Den du ja - wie ich aus deiner Error-Log-Aussage schließe - nicht hast?)

Liebe Grüße,
Valle

[moritz]

Hallo,

oha - das habe ich nicht gesehen.

Habe mich eben nochmal hingesetzt und jetzt doch eine Lösung gefunden:

Code:

SetEnvIf Request_URI "/var/" alwd
SetEnvIf Request_URI "index.php/rss" alwd


Order Allow,Deny
Satisfy any
Allow from env=alwd


AuthUserFile /PFAD/.htpasswd
AuthName "Galerie"
AuthType Basic
require valid-user

Klappt super - die beiden Anfragen werden zugelassen, sonst wird nach dem PW gefragt.

Danke euch allen für die Hilfe :dp:

Viele Grüße!