Сделать веб-каталог .git недоступным

130

У меня есть веб-сайт, на котором я использую github (закрытый исходный код) для отслеживания изменений и обновления сайта. Единственная проблема в том, что каталог .git доступен через Интернет. Как я могу остановить это и по-прежнему использовать git?

Стоит ли использовать .htaccess? Следует ли мне изменить разрешения для .git?

git .htaccess apache2

— Крис Мюнч
источник

должен быть на serverfault

— tback

8

Находится на serverfault: serverfault.com/questions/128069/…

— scribu

39

Создайте .htaccessфайл в .gitпапке и поместите в этот файл следующее:

Order allow,deny
Deny from all

Но учтите, что он будет потерян, если вы когда-нибудь повторно клонируете репозиторий.

— ThiefMaster
источник

38

Верно, но я бы не рекомендовал помещать его в сам .git/каталог, потому что он будет потерян, если вы когда-нибудь повторно клонируете репозиторий.

— Джейк Уортон,

Это неприятно, если у вас более одного каталога .git, и это необходимо сделать заново, если вы когда-либо повторно клонируете каталог.

— Bennett McElwee

1

Я пробовал это и обнаружил, что это работает, НО это и, по-видимому, ЛЮБОЕ решение, которое помещает этот параметр в .git /, имеет 2 недостатка, упомянутых выше, первый кажется худшим, плюс третий, возможно, худший из всех: цитата недоступен), в том числе о том, как это делается, когда и кем, является небольшим, но все же ключом к данным (особенно для его безопасности, включая анализ, когда и до того, как он не выполняется должным образом), НО в .git / это НЕ является частью собственно данных ( включая версионные, общие и хорошо сохраненные), так что также НЕ восстанавливается ... аналогично тому, как лучше всего поставить .gitignore с собственными данными, а не в .git /.

— Destiny Architect

3

Почему это принятый ответ, а не ответ Беннета? Его простой и эффективный метод решения этой проблемы.

— Джош Франкель

1

Скорее всего, потому что OP принял это за два года до того, как был опубликован другой;)

— ThiefMaster

380

Поместите это в .htaccessфайл в корне вашего веб-сервера:

RedirectMatch 404 /\.git

Это надежное и безопасное решение : оно

работает для всех .gitкаталогов на вашем сайте, даже если их больше одного,
также скрывает другие файлы Git, такие как .gitignoreи.gitmodules
работает даже для недавно добавленных .gitкаталогов, и
даже не выдает того факта, что каталоги существуют.

— Беннетт МакЭлви
источник

1

Это сработало с .gitпапкой, но я все еще мог загрузить .gitignoreфайл.

— Курт Эмч

Мое регулярное выражение работает в моем тестировании и должно работать в соответствии с документацией RedirectMatch, поскольку регулярное выражение должно соответствовать только части URL-адреса, а не полному URL-адресу: см. Примечание "тонкие различия" в связанной документации AliasMatch . Тем не менее, документы - это одно, а реальный мир - другое. Регулярное выражение @artlogic действительно соответствует полному URL-адресу, поэтому, возможно, в Apache есть некоторые различия в версиях, или я просто неправильно читаю.

— Беннетт МакЭлви

2

@BennettMcElwee - после внимательного изучения документации и выполнения нескольких тестов, похоже, что подстановочные знаки мне вообще не нужны. Спасибо за решение. Прекрасно работает!

— artlogic

Согласно документации apache2, вы также можете поместить его в другой контекст конфигурации:server config, virtual host, directory, .htaccess

— bennos,

Я бы даже предложил добавить ". *" В конце выражения, чтобы не было доступа к файлам / папкам в .git / ->RedirectMatch 404 /\.git.*

— Dimitri Hautot

33

Оба .htaccessи разрешения для .git/папки будут работать. Я рекомендую первое:

<Directory .git>
    order allow,deny
    deny from all
</Directory>

— Джейк Уортон
источник

Есть ли другой способ сделать с apache, поскольку мне не разрешено использовать директиву <Directory> из-за настроек сервера.

— Крис Мюнч

2

Есть все виды способов согласования (например, <Files>, <FilesMatch>).

— Джейк Уортон,

4

Этот ответ совершенно неверен - каталоги просто не разрешены в файлах .htaccess. Это не зависит от настроек сервера.

— отмечен удвоением

2

NI8VDY = Ошибка 1 из 1, когда я пробовал это: на виртуальном хостинге Dreamhost я поместил это в корневой каталог веб-сайта .htaccess, затем http: в корень веб-сайта дал цитату об ошибке журналов сервера (.. <Каталог здесь не разрешен). 2 комментатора уже предупреждают об этой проблеме, и последняя говорит цитата (каталог просто не разрешен в файлах .htaccess) и см. Официальную документацию каталога httpd.apache.org/docs/current/mod/core.html#directory say quote (Context: server config, виртуальный хост), а не .htaccess. Но у этого есть 26 голосов, поэтому те, кто находит, как работать с этим из .htaccess, ПОЖАЛУЙСТА, ОБНОВИТЕ РЕШЕНИЕ, объясняя.

— Destiny Architect

Согласитесь с @DestinyArchitect - извините за отрицательный голос, но это заблуждение.

— kael

7

Я не хотел возиться с .gitкаталогом и не смог заставить решение Беннета работать на Apache 2.2, но добавление следующего в мою <VirtualHost>конфигурацию сработало:

RewriteRule ^.*\.git.* - [R=404]

— Дэвид Молес
источник

5

Мне неудобно контролировать доступ к моим папкам .git по отдельности и я предпочитаю делать это через конфигурацию apache вместо .htaccess, чтобы я не перезаписал их или не забыл о новой установке и т. Д.

Вот несколько подробных инструкций, надеюсь, они помогут. Я использую Ubuntu 16.10.

Сначала проверьте, что произойдет, если вы перейдете в папку .git в браузере. В моем случае мне был представлен список каталогов. Если вы видите то, чего не должны видеть (т. Е. Вы не получаете 404), сделайте следующее.
Используйте apache2ctl -V, чтобы получить HTTPD_ROOT и SERVER_CONFIG_FILE
Используйте это, чтобы отредактировать конфигурацию apache, в моем случае $ sudo nano /etc/apache2/apache2.conf
Добавьте в файл конфигурации следующее: RedirectMatch 404 /.git
Перезапустите apache: $ sudo service apache2 restart
Теперь должен получить 404, если вы снова перейдете в папку
Я пробовал это с .gitignore, а также получил 404

— Крис Б.
источник

4

Более надежным и простым вариантом было бы отключение разрешений READ и Execution для .gitкаталога.

Поскольку в основном Apache (httpd) работает под специальной учетной записью пользователя, например, он запускается как пользователь apacheв CentOS, в то время как .gitкаталог должен быть создан под реальной учетной записью пользователя, поэтому мы можем просто заблокировать доступ, изменив разрешение. Более того, этот подход не вводит никаких новых файлов и не влияет на команды git.

Команда может быть:

chmod -R o-rx .git

— Hailong
источник

На машине, где SA не хотят использовать .htaccess и не хотят, чтобы я возился с их файлами httpd.conf -type, это кажется лучшим решением.

— Alien Life Form

1

Очевидным недостатком является то, что если вы повторно клонируете, вам придется не забыть запустить chmodснова.

— Лаури Нурми

3

mod_rewrite даст вам желаемый эффект:

RewriteEngine on
RewriteRule .*\.git/.* - [F]

— Кош
источник

9

Это уязвимость, связанная с раскрытием информации: она позволяет людям легко определить существование .gitкаталога, поскольку он возвращает запрещенный код, а не Not Found.

— Bennett McElwee

2

Использование git не является уязвимостью

— Адам,

1

Вместо того, чтобы возиться с .htaccessправилами, как предлагают большинство ответов, почему бы просто не поместить .git/каталог над корневым веб-каталогом?

В моих настройках мой .gitкаталог обычно находится примерно в:

/home/web/project_name/.git/

Мой настоящий код живет в

/home/web/project_name/www_root/

поскольку мой веб-корень (как определено на Apache или Nginx .. Я предпочитаю последний) /home/web/project_name/www_root/, .gitкаталог не может быть доступен из Интернета, поскольку он находится «выше», чем веб-корневой каталог.

— Хавьер Ларруле
источник

так public_html - это подкаталог рабочего каталога репо ?? звучит интересно

— Хайден Тринг

Нет, это не подкаталог. Они оба являются «братьями и сестрами» в моем основном каталоге проекта. В моем project_nameкаталоге есть два подкаталога: www_rootгде находятся файлы, которые фактически обслуживаются, когда посетитель просматривает мой сайт, и .gitгде находится репо. Получение обновлений из репо www_rootи его содержимого. Дело в том, что, поскольку .gitкаталог иерархически расположен «над» моим фронт-контроллером, он недоступен через Интернет.

— Хавьер Ларруле,

Я думаю, это то, что я имел в виду, так что у вас есть / home / user / public_html / и /home/user/.git

— Хайден Тринг

вау, это такое легкое и простое решение, его гениальность, (не то, чтобы создать блокировку всего сервера в apache security.conf сложно), единственное, на что следует обращать внимание, - это если у вашего хостинга есть какие-то странные настройки прав собственности / разрешений на publlic_html, может измениться.

— Хайден Тринг,

1

очень верно ... У меня на самом деле есть другие "родственные каталоги" для других целей, которые остаются недоступными из Интернета, что позволяет мне немного лучше спать по ночам :)

— Хавьер Ларруле