Jak mogę zapobiec udostępnianiu katalogu .git przez apache?

Zacząłem używać git do wdrażania stron internetowych do testowania. Jak zapobiec udostępnianiu zawartości katalogu .git przez apache?

próbowałem

<Directorymatch "^/.*/\.svn/">
Order deny,allow
Deny from all
</Directorymatch>

bez powodzenia.

Wiem, że mogę utworzyć plik .htaccess w każdym katalogu .git i odmówić dostępu, ale chciałem czegoś, co mógłbym umieścić w głównym pliku konfiguracyjnym, który uczyni to globalnym we wszystkich witrynach.

To nie działa, ponieważ masz w regule „svn”, a nie „git”. Wszystko, co musisz zrobić, to zamienić „svn” na „git”.

<Directorymatch "^/.*/\.git/">
Order deny,allow
Deny from all
</Directorymatch>

Ma to taki sam efekt, jak wiele innych odpowiedzi, ale jest o wiele prostsze:

RedirectMatch 404 /\.git

Może to przejść do .htaccesspliku konfiguracyjnego serwera. Ukrywa każdy plik lub katalog, którego nazwa zaczyna się od .git(np. .gitKatalog lub .gitignoreplik), zwracając kod 404. Tak więc nie tylko ukryta jest zawartość repozytorium Git, ale także jego istnienie.

Jeśli nie używasz plików .htaccess, ale zamiast tego chcesz użyć /etc/apache2/httpd.conf (lub cokolwiek innego głównego pliku konfiguracyjnego serwera), aby ukryć zarówno katalogi .git, jak i pliki .gitignore, możesz skorzystać z następujących opcji. Znalazłem powyższą odpowiedź dla ustawienia master conf nie ukrywało pliku gitignore.

# do not allow .git version control files to be issued
<Directorymatch "^/.*/\.git+/">
  Order deny,allow
  Deny from all
</Directorymatch>
<Files ~ "^\.git">
    Order allow,deny
    Deny from all 
</Files>

Jeśli korzystasz z usługi hostingu współdzielonego i nie masz dostępu do apache.conf , nadal możesz to zrobić w pliku .htaccess:

RewriteEngine On
RewriteRule "^(.*/)?\.git/" - [F,L]

### never deliver .git folders, .gitIgnore
RewriteRule ^(.*/)?\.git+ - [R=404,L]

# 2nd line of defense (if no mod_rewrite)
RedirectMatch 404 ^(.*/)?\.git+

To działa .htaccess, nie http.confwymaga dostępu. Uwzględnij to jako pierwszą z reguł przepisywania. Przygotuj w Rewrite Onrazie potrzeby.

Z punktu widzenia bezpieczeństwa wolę fałszywy 404 niż 403, bardziej informacyjny dla atakującego. Skomentuj jeden z dwóch, aby upewnić się, że drugi również działa dla ciebie.

Btw, dobre zmiany, twój test lithmus dla tych dwóch to:

http://localhost/.gitignore
http://localhost/.git/HEAD

Aby chronić zarówno katalog .git, jak i inne pliki, takie jak .gitignore i .gitmodules za pomocą .htaccess, użyj:

RewriteEngine On
RewriteRule ^(.*/)?\.git+ - [F,L]
ErrorDocument 403 "Access Forbidden"

Zawsze dodam następujący wiersz do szablonu vhost

RedirectMatch 404 /\\.(svn|git|hg|bzr|cvs)(/|$)

Tylko dla pewności, że nikt nie ma dostępu do danych specyficznych dla VCS. Działa idealnie.

Zakładając, że twój serwer używa innego użytkownika niż ten, którego używasz do uzyskania dostępu do repozytorium .git, możesz wyłączyć bit wykonywania dla innych w katalogu .git.

Powinno to działać z innymi serwerami WWW i nie opierać się na energochłonnych plikach .htaccess.

Dla tych, którzy chcą po prostu odrzucić wszystkie „ukryte” pliki i katalogi w dystrybucji Linuksa (ogólnie wszystkie pliki rozpoczynające się od „.”), Oto, co działa na Apache 2.4, gdy jest umieszczony w kontekście konf:

<FilesMatch "^\.(.*)$">
    Require all denied
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    Require all denied
</DirectoryMatch>

A oto starszy styl Apache 2.2 (ten sam regex, tylko inne dyrektywy autoryzacyjne):

<FilesMatch "^\.(.*)$">
    Order deny,allow
    Deny from all
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    Order deny,allow
    Deny from all
</DirectoryMatch>

Wtedy nie musisz się martwić .gitani .svnkonkretnie. To również pasowałoby do rzeczy podobnych .htaccessi .htpasswdnieodłącznych.

Osobiście lubię wydawać 403 dla takich żądań zamiast 404, ale możesz łatwo użyć RewriteRule zamiast odmowy autoryzacji, na przykład:

<FilesMatch "^\.(.*)$">
    RewriteRule "^(.*)$" - [R=404,L]
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    RewriteRule "^(.*)$" - [R=404,L]
</DirectoryMatch>

Prawdopodobnie chcesz również odmówić serwowania .gitignore.

Pliki zaczynające się od kropki są ukryte w systemie Linux.

Dlatego tylko 404 wszystkiego, co zaczyna się od kropki:

RedirectMatch 404 /\.

Jest trochę późno, ale moja odpowiedź jest nieco inna, więc pomyślałem, że to dodam. Musi to znaleźć się w pliku httpd.conf. <Files "*">Zagnieżdżone wewnątrz <Directory>znacznika blokuje wszystkie pliki w katalogu.

# GitHub Directory
<Directory /var/www/html/yoursite/.git>
   Order Deny,Allow
   Deny from all
   <Files "*">
     Order Deny,Allow
     Deny from all
   </Files>
</Directory>
# GitHub files
<Files .gitignore>
  order Deny,Allow
  Deny from all
</Files>