security - .htaccess 保护页面的安全性

Question

htaccess 保护页面是否存在任何已知缺陷？

我知道他们可以接受蛮力攻击，因为有人可以尝试登录的次数没有限制。如果用户可以在服务器上上传和执行文件，那么所有赌注都将关闭......

还有其他 .htaccess 缺陷吗？

Answer 1

.htaccess 只是在每个目录的基础上指定 Apache 配置指令的一种方式。它们允许多种不同类型的密码保护。

如果您在谈论 HTTP 基本身份验证，那么用户名和密码将与每个请求以明文形式发送，并且会受到嗅探(假设您没有使用 SSL)。

除此之外，它们还会遇到任何基于密码的系统都会遇到的常见问题。

使用 HTTP 基本身份验证不会授予用户上传和执行文件的任何额外能力。如果他们已经可以做到这一点，那么他们仍然可以做到这一点。如果他们不能，他们就不能。