NGINX - Warum kann ich die Passwort-Authentifizierung umgehen?

Question

Ich habe einen NGINX-Server und ich benutze Apache-Dienstprogramm für Passwort-Anforderung (.htpasswd). Es funktioniert meistens gut. Die im Anschluss an diese Arbeit gut:

example.com/admin 
example.com/admin/ 
example.com/admin/index 

aber ... Wenn ich example.com/admin/index.php eingeben und geben Sie kein Passwort überhaupt und drücken Sie „Abbruch“ der Server-Show ist der index.php (ohne CSS oder JS-Dateien). Ich denke mein PHP-FPM ist das Problem. Bitte werfen Sie einen Blick:

location/{ 
    try_files $uri $uri.html $uri/ @extensionless-php; 
    index index.html index.htm index.php; 
} 

location @extensionless-php { 
    rewrite ^(.*)$ $1.php last; 
} 

location /admin { 
    auth_basic "Restricted"; 
    auth_basic_user_file /admin/.htpasswd; 
} 

location ~ \.php$ { 
    fastcgi_pass   127.0.0.1:9000; 
    include     fastcgi_params; 
    fastcgi_param   SCRIPT_FILENAME $document_root$ 
} 

Answer 1

Gerade in den letzten zwei Standorten in Ihrer Frage suchen:

location ^~ /admin { 
    auth_basic "Restricted"; 
    auth_basic_user_file /admin/.htpasswd; 

    location ~ \.php$ { 
     fastcgi_pass 127.0.0.1:9000; 
     include  fastcgi_params; 
     fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; 
    } 
} 

location ~ \.php$ { 
    fastcgi_pass 127.0.0.1:9000; 
    include  fastcgi_params; 
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; 
} 

den ^~ Modifikator Hinzufügen macht den location ^~ /admin Block Vorrang vor den anderen regex Blöcke nehmen (insbesondere die bestehenden location ~ \.php$ Block). Daher werden die Authentifizierungsregeln einheitlich auf jeden URI angewendet, der mit /admin beginnt. Details finden Sie unter this document.

PHP brechen zu vermeiden, wird der location ~ \.php$ Block innerhalb des location ^~ /admin Block dupliziert URIs zu verarbeiten, die mit .php mit /admin beginnen und enden.