网站管理员和Web开发人员必读的.htaccess入门指南 _.htaccess

在很多自定义 Web 服务器的工具中，.htaccess配置文件是一个非常实用的工具。你可以快速重置文档类型、解析引擎、URL 重定向以具体用法。在本文中，我想为网站管理员和 Web 开发人员提供一些更有目的性的概念。.htaccess 提供了非常多的可定制性，它可以在从 php 到 Ruby 的任何 Web 语言中使用。任何在Apache 服务器上搭建自己网站的人肯定想了解如何管理他们的.htaccess 文件。

文章插图

为什么要使用.htaccess 文件？
这是一个很好的问题，也许我们应该首先回答“什么是.htaccess 文件”？它是 Apache Web 服务器使用的一个非常特殊的配置文件。.htaccess 文件可以告诉 Web 服务器如何呈现各种形式的信息以及如何处理各种 HTTP 请求标头。
真的，这是一种分散 Web 服务器设置的方法。一个物理服务器可以拥有 50 个不同的网站，每个网站都有自己的.htaccess 文件。它为网站管理员提供了很多权力，否则这是不可能的。但是你为什么要用一个呢？
最大的原因是安全。您可以锁定某些目录或使其受密码保护。这非常适合私人项目或新的内容管理系统，您需要一些额外的安全性。但是也有一些常见的任务，例如将 404 错误消息重定向到某个网页。这只需要一行代码，它可以极大地影响访问者对 404 页面的反应。
说实话，我没有太多理由去说服别人.htaccess 文件值得去理解和应用。一旦你看到它在行动，你就可以知道来自这个微小的配置文件的所有价值。此外，我希望本文的其余部分可以提供一些有见地的话题，让网站管理员了解如何管理.htaccess 配置。
允许/拒绝访问
可以识别潜在的垃圾访问者并拒绝他们访问您的网站。这可能有点极端，但是如果你知道一个人或一群人一直在瞄准你的网站，你可以通过IP 地址选择域引用来拒绝或禁止访问者。

order allow,deny
deny from 255.0.0.0
deny from 123.45.6.
allow from all

这些示例代码是从Htaccess 指南中复制的，因为它们是入门的完美模板。请注意，第二个 IP 地址缺少第 4 个整数。此代码块将以第一个 IP（255.0.0.0）和 123.45.6.0-255 范围内的每个 IP 为目标，然后允许所有其他流量。网站管理员可能不会像其他技术那样经常使用它，但它有助于理解。
阻止目录列表
有时你有一个打开的目录，默认情况下设置为允许浏览。这意味着用户可以查看内部目录结构中列出的所有文件，例如 images 文件夹。一些网站管理员不希望允许目录列表，下面的代码片段就可以实现。
Options -Indexes
我已经看到这个答案在Stack Overflow中出现了数次，它可能是最容易记住的.htaccess 规则之一。
实际上可以在每个目录中创建多个.htaccess 文件，因此可能其中一个受密码保护，但其他文件不受密码保护。你仍然可以保留 Options -Indexes，以便访问者无法浏览你的网站/图像/文件夹。
密码保护目录
密码保护目录是保护管理区域和对您的网站至关重要的其他文件夹的一种非常常见的过程。你可以用来设置极少数人可以访问这些目录，或者用来防止黑客访问你的网站管理面板。但无论哪种用途，它都是解决许多问题的非常强大的解决方案。
这里有一篇密码保护指南，介绍了重要的代码片段。你需要生成一个存储用户名/密码凭据的密码文件。以便 Apache 检查用户输入的内容，看看是否应该授予他们访问权限。请注意查看如何生成用户名和密码的示例。
我建议使用这个htpassword 生成器，可以节省一些时间。它的语法总是很完美，你不需要自己加密密码。另一个很好的选择是密码保护整个目录列表：

AuthType Basic
AuthName "This Area is Password Protected"
AuthUserFile /full/path/to/.htpasswd
Require valid-user

WordPress 安全
为了充分利用这个密码保护的想法，让我们展示一个真实的例子。这个更复杂的代码片段将强制用户身份验证访问 WordPress wp-login.php 文件的任何人。你可以在Ask Apache上找到原始源代码，其中包含许多其他的 WordPress 保护代码。

<Files wp-login.php>
Order Deny,Allow
Deny from All
Satisfy Any
AuthName "Protected By AskApache"
AuthUserFile /web/askapache.com/.htpasswda1
AuthType Basic
Require valid-user
</Files>

如果你要遵循这些.htaccess 规则，它也可能有助于密码保护管理区域。通常，wp-login.php 是攻击者最频繁访问的文件。所以，上面的示例代码也足以为你的 WordPress 网站增加安全性。