security - RedirectMatch 与 Deny from All - 哪个更安全？

Question

我目前正在开发一个应用程序，该应用程序在公共(public)网络根目录下有很多目录，这些目录不应公开访问。目前，这是通过在所有不应浏览的目录中放置大量具有 Deny from All 规则的 .htaccess 文件来完成的。

但是最近我发现，通过在根目录的 .htaccess 中定义 RedirectMatch 规则列表也会“隐藏”这些文件，并抛出如下 404 错误:

RedirectMatch 404 "/uploads*"
RedirectMatch 404 "/keys*"
RedirectMatch 404 "/private_files*"
....

RedirectMatch 方法是否会带来任何其他安全漏洞，建议不要切换到这样的“集中管理”系统来定义什么是公开的、什么不是？

Answer 1

它们并不等同。 RedirectMatch指令在 URL 级别工作。这意味着 RedirectMatch 404 "/keys*" 可以阻止您访问任何以 /keys 开头的 URL，而其他方法只会影响那些特定的物理目录(无论他们的网址)。它可能是一个错误，也可能是一个功能。

此外，如果您担心性能，Apache 将需要为服务器收到的每个请求解析主 .htaccess 中的 RedirectMatch 规则。考虑到尝试加载这些目录的情况预计相当罕见，这可能是不必要的开销。

(正如其他人可能会指出的那样，最安全的机制是将这些文件移至公共(public)文档根目录之外，但我知道某些托管提供商不允许这样做。)