2. 程式人生 > >Apache的Order Allow,Deny 詳解

Apache的Order Allow,Deny 詳解

阿新 • • 發佈：2018-08-09
show http代理 div form log 重要 conf 還需 語句

Allow和Deny可以用於apache的conf文件或者.htaccess文件中（配合Directory, Location, Files等），用來控制目錄和文件的訪問授權。

所以，最常用的是：
Order Deny,Allow
Allow from All

註意“Deny,Allow”中間只有一個逗號，也只能有一個逗號，有空格都會出錯；單詞的大小寫不限。上面設定的含義是先設定“先檢查禁止設定，沒有禁止的全部允許”，而第二句沒有Deny，也就是沒有禁止訪問的設定，直接就是允許所有訪問了。這個主要是用來確保或者覆蓋上級目錄的設置，開放所有內容的訪問權。

按照上面的解釋，下面的設定是無條件禁止訪問：
Order Allow,Deny
Deny from All

如果要禁止部分內容的訪問，其他的全部開放：
Order Deny,Allow
Deny from ip1 ip2
或者
Order Allow,Deny
Allow from all
Deny from ip1 ip2

apache會按照order決定最後使用哪一條規則，比如上面的第二種方式，雖然第二句allow允許了訪問，但由於在order中allow不是最後規則，因此還需要看有沒有deny規則，於是到了第三句，符合ip1和ip2的訪問就被禁止了。註意，order決定的“最後”規則非常重要，下面是兩個錯誤的例子和改正方式：

Order Deny,Allow
Allow from all
Deny from domain.org
錯誤：想禁止來自domain.org的訪問，但是deny不是最後規則，apache在處理到第二句allow的時候就已經匹配成功，根本就不會去看第三句。
解決方法：Order Allow,Deny，後面兩句不動，即可。

Order Allow,Deny
Allow from ip1
Deny from all
錯誤：想只允許來自ip1的訪問，但是，雖然第二句中設定了allow規則，由於order中deny在後，所以會以第三句deny為準，而第三句的範圍中又明顯包含了ip1（all include ip1），所以所有的訪問都被禁止了。
解決方法一：直接去掉第三句。
解決方法二：
Order Deny,Allow
Deny from all
Allow from ip1

下面是測試過的例子：
--------------------------------
Order deny,allow
allow from all
deny from 219.204.253.8
#全部都可以通行
-------------------------------
Order deny,allow
deny from 219.204.253.8
allow from all
#全部都可以通行
-------------------------------
Order allow,deny
deny from 219.204.253.8
allow from all
#只有219.204.253.8不能通行
-------------------------------
Order allow,deny
allow from all
deny from 219.204.253.8
#只有219.204.253.8不能通行
-------------------------------
-------------------------------
Order allow,deny
deny from all
allow from 219.204.253.8
#全部都不能通行
-------------------------------
Order allow,deny
allow from 219.204.253.8
deny from all
#全部都不能通行
-------------------------------
Order deny,allow
allow from 219.204.253.8
deny from all
#只允許219.204.253.8通行
-------------------------------
Order deny,allow
deny from all
allow from 219.204.253.8
#只允許219.204.253.8通行
-------------------------------
--------------------------------
Order deny,allow
#全部都可以通行（默認的）
-------------------------------
Order allow,deny
#全部都不能通行（默認的）
-------------------------------
Order allow,deny
deny from all
#全部都不能通行
-------------------------------
Order deny,allow
deny from all
#全部都不能通行
-------------------------------
對於上面兩種情況，如果換成allow from all，則全部都可以通行！
-------------------------------
Order deny,allow
deny from 219.204.253.8
#只有219.204.253.8不能通行
-------------------------------
Order allow,deny
deny from 219.204.253.8
#全部都不能通行
-------------------------------
Order allow,deny
allow from 219.204.253.8
#只允許219.204.253.8通行
-------------------------------
Order deny,allow
allow from 219.204.253.8
#全部都可以通行
-------------------------------
-------------------------------
order deny,allow
allow from 218.20.253.2
deny from 218.20
#代表拒絕218.20開頭的IP，但允許218.20.253.2通過；而其它非218.20開頭的IP也都允許通過。
-------------------------------
order allow,deny
allow from 218.20.253.2
deny from 218.20
#和上面的差不多，只是掉換的order語句中的allow、deny先後順序，但最終結果表示全部都拒絕！

form:http://hi.baidu.com/enjoypain/blog/item/f48c7aecdba298d12f2e21ac.html

前段時間做了個Apache的HTTP代理服務器，其中的order allow，deny這部分弄的不太懂，於是上網找資料看，誰知道越看越糊塗，其中有些難以分辨對錯甚至是誤導。就像破解windows系統密碼的一些文章那樣，很多都是人雲亦雲的，並沒有經過測試。廢話少說，先把我經過測試後分析總結出來的結論show出來，相信這對大家的理解非常有幫助。

總則——

影響最終判斷結果的只有兩點：

1. order語句中allow、deny的先後順序；

2. allow、deny語句中各自包含的範圍。

溫馨提醒——

1. 修改完配置後要保存好並重啟Apache服務，配置才能生效；

2. 開頭字母不分大小寫；

3. allow、deny語句不分先後順序，誰先誰後不影響最終判斷結果；但都會被判斷到；

4. order語句中，“allow,deny”之間“有且只有”一個逗號（英文格式的），而且先後順序很重要；

5. Apache有一條缺省規則，“order allow,deny”本身就默認了拒絕所有的意思，因為deny在allow的後面；同理，“order deny,allow”本身默認的是允許所有；當然，最終判斷結果還要綜合下面的allow、deny語句中各自所包含的範圍；（也就是說order語句後面可以沒有allow、deny語句）

6. allow、deny語句中，第二個單詞一定是“from”，否則Apache會因錯而無法啟動，

7. “order allow,deny”代表先判斷allow語句再判斷deny語句，反之亦然。

上面說的都是要記住的，而下面說的是我獨創的理解方法。如果有人看了而沒有豁然開朗的感覺，那算是我的失敗！

判斷原則分4步走——

1. 首先判斷默認的；

2. 然後判斷逗號前的；

3. 最後判斷逗號後的；

4. 最終按順序疊加而得出判斷結果。

上面三點我說的簡單而形象，主要是為了便於記憶。暫時不理解不要緊，繼續看下面詳細的解說自然會明白。下面以一個普通例子來做解釋——

order deny,allow

allow from 218.20.253.2

deny from 218.20

1. 所謂“首先判斷默認的”，就是判斷“order deny,allow”這句，它默認是允許所有；

2. 所謂“然後判斷逗號前的”，因為在本例子中的order語句裏面，deny在逗號的前面，所以現在輪到判斷下面的deny語句了——“deny from 218.20”；

3. 所謂“最後判斷逗號後的”，因為在本例子中的order語句裏面，allow在逗號的後面，所以最後輪到判斷下面的allow語句了——“allow from 218.20.253.2”。

4. 所謂“最終按順序疊加而得出判斷結果”，這是一個形象化了的說法，我把每一步判斷都看作一個“不透明的圖層”，然後一步步按順序疊加上去，最終得出的“圖像”就是判斷結果。

用過作圖軟件的人應該都知道“圖層”是怎麽回事，我估計Apache關於order allow deny這方面的設計理念和photoshop等作圖軟件關於圖層的設計理念是一樣的。即“遊戲規則”是一樣的。

那麽上面的例子就可以是這麽一個步驟和圖像——

1. 先畫一個白色的大圓，代表“order deny,allow”語句，默認意思是允許所有；

2. 然後畫一個小一點的黑色圓，代表“deny from 218.20”語句，意思是拒絕所有以218.20開頭的IP，放進白色的大圓裏面；

3. 最後再畫一個白色的圓，代表“allow from 218.20.253.2”語句，意思是允許218.20.253.2通過，放在黑色圓的上面。

4. 到此為止，我們已經可以看到一個結果了，白色大圓上面有一個黑色圓，黑色圓上面還有一個白色圓。最後，我們所能看到的黑色部分就是拒絕通行的，剩下的白色部分都是允許通行的。判斷的結果就是這麽簡單形象！

如果不懂的用作圖軟件，我們再來個非常貼近生活的比喻——

把上面的例子改動一點點，以便更好的理解：

order deny,allow

allow from 218.20.253.2

deny from 219.30

1. 首先拿一張A4白紙，代表第order語句，意思是允許全部；

2. 然後拿一張黑色紙剪一個圓，放在A4紙裏面的某個位置上，代表deny語句，意思是拒絕所有以219.30開頭的IP；

3. 最後拿白紙再剪一個圓，放在黑色圓的旁邊，代表allow語句，意思是允許218.20.253.2通過；註意，這個例子不是放進黑色圓裏面了，因為deny和allow語句不再有相互包含的關系了。

4. A4紙上面有一個黑色圓和一個白色圓，結果自然很明顯了。不過白色的A4紙上再放一個白色的圓，顯然是多余的了，因為大家都是白色的，都代表允許，所以就重復了，可以去掉白色的圓而不會影響判斷結果。

如果看到這裏還沒明白，那一定是我還有什麽沒說清楚的。那麽請好好分析我所做過的測試例子，將在最後列出來。

在這裏再啰嗦一下，allow、deny語句後面跟的參數有多種形式，有不同的表達方式，我在網上看到的做法是deny from IP1 IP2 IP3或allow from domain.com等。其它的表達方式大家再找別的資料看吧。我想說的是另一種表達方式：

order deny,allow

allow from IP1 IP2

allow from domain.info

allow from 219.20.55.0/24

deny from all

我沒具體驗證過這是否對，不過這樣是可以正常啟動Apache服務的，按道理應該是正確的表達方式。哈哈，像我這樣的入門者只能這樣了，還希望大家多多指教！

下面是測試過的例子：
--------------------------------
Order deny,allow
allow from all
deny from 219.204.253.8
#全部都可以通行
-------------------------------
Order deny,allow
deny from 219.204.253.8
allow from all
#全部都可以通行
-------------------------------
Order allow,deny
deny from 219.204.253.8
allow from all
#只有219.204.253.8不能通行
-------------------------------
Order allow,deny
allow from all
deny from 219.204.253.8
#只有219.204.253.8不能通行
-------------------------------
-------------------------------
Order allow,deny
deny from all
allow from 219.204.253.8
#全部都不能通行
-------------------------------
Order allow,deny
allow from 219.204.253.8
deny from all
#全部都不能通行
-------------------------------
Order deny,allow
allow from 219.204.253.8
deny from all
#只允許219.204.253.8通行
-------------------------------
Order deny,allow
deny from all
allow from 219.204.253.8
#只允許219.204.253.8通行
-------------------------------
--------------------------------
Order deny,allow
#全部都可以通行（默認的）
-------------------------------
Order allow,deny
#全部都不能通行（默認的）
-------------------------------
Order allow,deny
deny from all
#全部都不能通行
-------------------------------
Order deny,allow
deny from all
#全部都不能通行
-------------------------------
對於上面兩種情況，如果換成allow from all，則全部都可以通行！
-------------------------------
Order deny,allow
deny from 219.204.253.8
#只有219.204.253.8不能通行
-------------------------------
Order allow,deny
deny from 219.204.253.8
#全部都不能通行
-------------------------------
Order allow,deny
allow from 219.204.253.8
#只允許219.204.253.8通行
-------------------------------
Order deny,allow
allow from 219.204.253.8
#全部都可以通行
-------------------------------
-------------------------------
order deny,allow
allow from 218.20.253.2
deny from 218.20
#代表拒絕218.20開頭的IP，但允許218.20.253.2通過；而其它非218.20開頭的IP也都允許通過。
-------------------------------
order allow,deny
allow from 218.20.253.2
deny from 218.20
#和上面的差不多，只是掉換的order語句中的allow、deny先後順序，但最終結果表示全部都拒絕！

Apache的Order Allow,Deny 詳解

相關推薦

Apache的Order Allow,Deny 詳解

show http代理 div form log 重要 conf 還需 語句 Allow和Deny可以用於apache的conf文件或者.htaccess文件中（配合Directory, Location, Files等），用來控制目錄和文件的訪問授權。 所以，最常用的

Access-Control-Allow- 設定 CORS(跨域資源共享)詳解

跨域訪問的專案常在過濾器或者攔截器中新增如下配置     response.setHeader("Access-Control-Allow-Origin", "*"); response.setHeader("Access-Control-Allo

java Io 流類詳解

修改 文件目錄 != exe [] 深入 clas one fileinput 關於java 流類的復習；習慣性的復習按照圖結構一層層往下深入去了解去復習，最後通過代碼來實現感覺印象會更深刻一些； 關於 I/O流：IO可以理解為JAVA用來傳遞數據的管道

cookie 和session 的區別詳解

重復 處理方式 一行 所有 有效 依據 是把 存儲 一個 二者的定義： 當你在瀏覽網站的時候，WEB 服務器會先送一小小資料放在你的計算機上，Cookie 會幫你在網站上所打的文字或是一些選擇， 都紀錄下來。當下次你再光臨同一個網站，WEB 服務器會先看看有沒有它上次留下的

cd命令使用詳解

表示 如果 用戶家目錄 roo 環境變量 方法 字符 實用 效果 　　cd命令是目錄切換命令，是shell內置命令。 　　語法： 　　　　cd [-L|-P] [dir] 　　選項： 　　　　-p 如果要切換到的目標目錄是一個符號連接，直接切換到符號連接指向的目標目錄 　　

setting.xml 配置詳解

校驗 找不到 順序 裁剪 全局 -- mls leg 觸發 文件存放位置 全局配置: ${M2_HOME}/conf/settings.xml 用戶配置: ${user.home}/.m2/settings.xml note：用戶配置優先於全局配置。${user.home}

R數據可視化----ggplot2之標度、坐標軸和圖例詳解

abs 調整 所有 不同的 size n) 默認 表達 idt 標度控制著數據到圖形屬性的映射，當有需要時，ggplot2會自動添加一個默認的標度。我們確實可以在不了解標度運行原理的情況下畫出許多圖形，但理解標度並學會如何操縱它們則將賦予我們對圖形更強的控制能力。 每一種圖

跨域資源共享CORS詳解

附加 accep 不發送 地址 code 克服 通信 數據 ror 簡介 CORS是一個W3C標準，全稱是"跨域資源共享"（Cross-origin resource sharing）。 它允許瀏覽器向跨源服務器，發出XMLHttpRequest請求，從而克服了AJAX

磁盤陣列 RAID 技術原理詳解

十分 單獨 很好 不同的 raid1 miss 和數 會同 帶寬 RAID一頁通整理所有RAID技術、原理並配合相應RAID圖解，給所有存儲新人提供一個迅速學習、理解RAID技術的網上資源庫，本文將持續更新，歡迎大家補充及投稿。中國存儲網一如既往為廣大存儲界朋友提供免費、精

Web.Config文件詳解

htm 用法 名稱 href 會話狀態 行為 cookie 程序配置 會話 一).Web.Config是以XML文件規範存儲,配置文件分為以下格式 1.配置節處理程序聲明 特點： 位於配置文件的頂部，包含在<configSections>標誌中。

oracle recyclebin詳解

tables 執行 reat 手工 emp 命令 沒有 -- 釋放 今天在SOA應用數據庫上運用DBMS_REDEFITION包進行在線非分區表轉換分區表操作時，本想DROP掉建的臨時表cube_scope_temp不小心後面忘記加"temp"直接執行了，我等意識到這個問題

POI操作Excel詳解，讀取xls和xlsx格式的文件

shee xss split 類型 後綴 .sh lan xls lin package org.ian.webutil; import java.io.File; import java.io.FileInputStream; import java.io.FileN

java.util包詳解（二）——Connection接口

操作 相同 元素 叠代 cat roo soft true nbsp Connection接口介紹 　　Connection接口是java集合的root接口，沒有實現類，只有子接口和實現子接口的各種容器。主要用來表示java集合這一大的抽象概念。 　　Connection接

【Spring】Spring MVC原理及配置詳解

進行 return sub sca scrip uil 線程安全 松耦合 必須 1.Spring MVC概述： Spring MVC是Spring提供的一個強大而靈活的web框架。借助於註解，Spring MVC提供了幾乎是POJO的開發模式，使得控制器的開發和測試更加簡

tar命令詳解

pan 詳解 time border 設備 lin bsp force names 解壓到指定目錄 tar -zxvf flash_player_npapi_linux.x86_64.tar.gz -C mmtar -zxvf flash_player_npapi_linu

$.ajax()方法詳解

例如 lencod ace 包含 等等 json 返回 用戶名 代碼 jquery中的ajax方法參數總是記不住，這裏記錄一下。 1.url: 要求為String類型的參數，（默認為當前頁地址）發送請求的地址。 2.type: 要求為String類型的參數，請求方式（p

JMX學習詳解

-s agen 技術 操作 三層架構 out javax optional 配置 一、概述： 　　JMX（Java Management Extensions，即Java管理擴展）是一個為應用程序、設備、系統等植入管理功能的框架。 　　JMX的核心類是MBean（準確說是接

Rsyslog配置文件詳解(轉)

安裝 權限 lines true time cor optional tex 以及 最近在搭建日誌審計服務器，使用了rsyslog，發現這篇文章很有用，收藏一下。 原文鏈接：http://my.oschina.net/0757/blog/198329 具體內容： 非常詳

htonl()函數詳解

理解 問題 自定義 大端 編譯器 正常 lin 代碼 ret 在《Linux網絡編程》這本書中提到htonl()函數的原型。實現代碼如下： long htonl(long value) { 　　return ((value <<24 )|((value<&

MongoDB增刪改查操作詳解

添加多個 負數 指定 cal lib 定位 也會 pan str 一、插入 MongoDB的插入操作很簡單，使用insert方法，這裏演示從創建數據庫、創建集合到插入文檔、查詢文檔。 集合創建方法參數說明： size：集合最大空間 max：集合最多文檔數量 （超出si