.htaccess

.htaccess-Dateien

Verwandte Module	Verwandte Richtlinien
Kernstück mod_authn_file mod_authz_groupfile mod_cgi mod_include mod_mime	ZugriffDateiname AllowOverride Optionen AddHandler SetHandler AuthType AuthName AuthUserFile AuthGroupFile Fordern Sie an.

Sie sollten die Verwendung von .htaccess-Dateien vollständig vermeiden, wenn Sie Zugriff auf die Konfigurationsdatei des httpd-Hauptservers haben.

• Die Verwendung von .htaccess-Dateien verlangsamt Ihren Apache http-Server.
• Jede Direktive, die Sie in eine .htaccess-Datei aufnehmen können, sollten Sie besser in einen Directory-Block setzen, da sie die gleiche Wirkung bei besserer Leistung hat.

Was sie sind/Wie man sie benutzt

.htaccess-Dateien (oder "verteilte Konfigurationsdateien") bieten eine Möglichkeit, Konfigurationsänderungen für einzelne Verzeichnisse vorzunehmen.

• Eine Datei, die eine oder mehrere Konfigurationsanweisungen enthält, wird in einem bestimmten Dokumentverzeichnis abgelegt, und die Anweisungen gelten für dieses Verzeichnis und alle seine Unterverzeichnisse.

Anmerkung:

Wenn Sie Ihre .htaccess-Datei anders nennen wollen, können Sie den Namen der Datei mit der Direktive AccessFileName ändern.

• Wenn Sie zum Beispiel die Datei lieber .config nennen möchten, können Sie Folgendes in Ihre Serverkonfigurationsdatei einfügen:

Zugriffsdateiname ".config"

Im Allgemeinen verwenden .htaccess-Dateien die gleiche Syntax wie die Hauptkonfigurationsdateien.

• Was Sie in diese Dateien aufnehmen können, wird durch die Richtlinie AllowOverride bestimmt.
• Diese Richtlinie legt in Kategorien fest, welche Richtlinien beachtet werden, wenn sie in einer .htaccess-Datei gefunden werden.
• Wenn eine Direktive in einer .htaccess-Datei erlaubt ist, enthält die Dokumentation zu dieser Direktive einen Abschnitt Override, der angibt, welcher Wert in AllowOverride stehen muss, damit diese Direktive erlaubt ist.

Wenn Sie sich beispielsweise die Dokumentation der AddDefaultCharset-Direktiveansehen, werden Sie feststellen, dass sie in .htaccess-Dateienzulässig ist. (Siehe die Zeile Context in der Zusammenfassung der Direktive.) Die Zeile Override lautet FileInfo.

• Sie müssen also mindestens AllowOverride FileInfo haben, damit diese Richtlinie in .htaccess-Dateien beachtet wird.

Beispiel:

Kontext:	Serverkonfiguration, virtueller Host, Verzeichnis, .htaccess
Überschreiben:	DateiInfo

Wenn Sie sich nicht sicher sind, ob eine bestimmte Richtlinie in einer . htaccess-Datei zulässig ist, sehen Sie in der Dokumentation zu dieser Richtlinie nach und prüfen Sie die Kontextzeile für ".htaccess".

Wann man .htaccess-Dateien (nicht) verwenden sollte

Im Allgemeinen sollten Sie .htaccess-Dateien nur verwenden, wenn Sie keinen Zugriff auf die Hauptkonfigurationsdatei des Servers haben.

• Es ist zum Beispiel ein weit verbreiteter Irrglaube, dass die Benutzerauthentifizierung immer in .htaccess-Dateien erfolgen sollte, und in den letzten Jahren ist ein weiterer Irrglaube entstanden, dass mod_rewrite-Direktiven in .htaccess-Dateien enthalten sein müssen.
• Das ist einfach nicht der Fall.
• Sie können die Konfiguration der Benutzerauthentifizierung in der Hauptkonfiguration des Servers vornehmen, und dies ist auch die bevorzugte Vorgehensweise.
• Ebenso funktionieren die mod_rewrite-Direktiven in vielerlei Hinsicht besser in der Hauptserverkonfiguration.

.htaccess-Dateien sollten in Fällen verwendet werden, in denen die Inhaltsanbieter Konfigurationsänderungen am Server pro Verzeichnis vornehmen müssen, aber keinen Root-Zugriff auf das Serversystem haben.

• Falls der Serveradministrator nicht bereit ist, häufige Konfigurationsänderungen vorzunehmen, kann es wünschenswert sein, einzelnen Benutzern zu erlauben, diese Änderungen in .htaccess-Dateien selbst vorzunehmen.
• Dies gilt zum Beispiel für Fälle, in denen ISPs mehrere Benutzerseiten auf einem einzigen Rechner hosten und ihren Benutzern die Möglichkeit geben wollen, ihre Konfiguration zu ändern.

Im Allgemeinen sollte die Verwendung von .htaccess-Dateien jedoch nach Möglichkeit vermieden werden.

• Jede Konfiguration, die Sie in einer .htaccess-Datei vornehmen möchten, kann genauso gut in einem <Directory>-Abschnitt in Ihrer Hauptkonfigurationsdatei des Servers vorgenommen werden.

Es gibt zwei Hauptgründe, die Verwendung von . htaccess-Dateien zu vermeiden.

Der erste Punkt ist die Leistung.

• Wenn AllowOverrideso eingestellt ist, dass die Verwendung von .htaccess-Dateien erlaubt ist, sucht httpd in jedem Verzeichnis nach .htaccess-Dateien.
• Das Zulassen von .htaccess-Dateien führt also zu Leistungseinbußen, unabhängig davon, ob Sie sie tatsächlich verwenden oder nicht! Außerdem wird die .htaccess-Datei jedes Mal geladen, wenn ein Dokument angefordert wird.

Beachten Sie außerdem, dass httpd in allen übergeordneten Verzeichnissen nach .htaccess-Dateien suchen muss, um alle Richtlinien, die er anwenden muss, zur Verfügung zu haben. (Siehe Abschnitt über die Anwendung von Direktiven.) Wenn also eine Datei aus dem Verzeichnis /www/htdocs/example angefordert wird, muss httpd nach den folgenden Dateien suchen:

/.htaccess

/www/.htaccess

/www/htdocs/.htaccess

/www/htdocs/example/.htaccess

Für jeden Dateizugriff aus diesem Verzeichnis gibt es also 4 zusätzliche Dateisystemzugriffe, selbst wenn keine dieser Dateien vorhanden ist. (Beachten Sie, dass dies nur der Fall wäre, wenn . htaccess-Dateien für / aktiviert wären, was normalerweise nicht der Fall ist).

Im Fall der RewriteRule-Direktiven müssen diese regulären Ausdrücke im .htaccess-Kontext bei jeder Anfrage an das Verzeichnis neu kompiliert werden, während sie im Kontext der Hauptserverkonfiguration einmal kompiliert und zwischengespeichert werden.

• Außerdem sind die Regeln selbst komplizierter, da man die Einschränkungen umgehen muss, die mit dem Kontext pro Verzeichnis und mod_rewrite einhergehen.
• Weitere Einzelheiten zu diesem Thema finden Sie im Rewrite-Leitfaden.

Die zweite Überlegung ist eine Frage der Sicherheit.

• Sie erlauben den Benutzern, die Serverkonfiguration zu ändern, was zu Änderungen führen kann, über die Sie keine Kontrolle haben. Überlegen Sie sorgfältig, ob Sie Ihren Benutzern diese Berechtigung einräumen wollen.
• Beachten Sie auch, dass die Gewährung von weniger Rechten als nötig zu zusätzlichen Anfragen an den technischen Support führen wird.
• Stellen Sie sicher, dass Sie Ihren Benutzern klar mitteilen, welche Berechtigungen Sie ihnen eingeräumt haben.
• Wenn Sie genau angeben, was Sie für AllowOverride festgelegt haben, und sie auf die entsprechende Dokumentation verweisen, ersparen Sie sich später eine Menge Verwirrung.

Beachten Sie, dass es völlig gleichwertig ist, eine .htaccess-Dateiin einem Verzeichnis /www/htdocs/example anzulegen, die eine Richtlinie enthält, und dieselbe Richtlinie in einen Verzeichnisabschnitt <Verzeichnis "/www/htdocs/example"> in Ihrer Hauptserverkonfiguration aufzunehmen:

.htaccess-Datei in /www/htdocs/example:

Inhalt der .htaccess-Datei in /www/htdocs/example

AddTypetext/example ".exm"

Abschnitt aus Ihrer httpd.conf-Datei

<Verzeichnis "/www/htdocs/example">
AddTypetext/example ".exm"
</Verzeichnis>

Wenn Sie diese Konfiguration jedoch in Ihre Serverkonfigurationsdatei aufnehmen, wird die Leistung weniger beeinträchtigt, da die Konfiguration nur einmal beim Starten von httpd geladen wird und nicht jedes Mal, wenn eine Datei angefordert wird.

Die Verwendung von .htaccess-Dateien kann vollständig deaktiviert werden, indem die Richtlinie AllowOverrideauf none gesetzt wird:

AllowOverride Keine

Wie Richtlinien angewendet werden

Die in einer .htaccess-Datei enthaltenen Konfigurationsanweisungen gelten für das Verzeichnis, in dem sich die .htaccess-Datei befindet, sowie für alle Unterverzeichnisse davon.

• Es ist jedoch wichtig, auch daran zu denken, dass es .htaccess-Dateien in höher gelegenen Verzeichnissen gegeben haben kann.
• Die Richtlinien werden in der Reihenfolge angewendet, in der sie gefunden werden.
• Daher kann eine .htaccess-Datei in einem bestimmten Verzeichnis Richtlinien überschreiben, die sich in .htaccess-Dateien befinden, die weiter oben im Verzeichnisbaum liegen.
• Und diese wiederum können Richtlinien überschreiben, die sich noch weiter oben oder in der Hauptkonfigurationsdatei des Servers selbst befinden.

Beispiel:

Im Verzeichnis /www/htdocs/example1 befindet sich eine . htaccess-Datei mit folgendem Inhalt:

Optionen +ExecCGI

(Hinweis: Sie müssen"AllowOverride Options" aktiviert haben, um die Verwendung der"Options"-Direktive in . htaccess-Dateien zu ermöglichen).

Im Verzeichnis /www/htdocs/example1/example2 haben wir eine .htaccess-Datei, die Folgendes enthält:

Optionen Umfasst

Aufgrund dieser zweiten .htaccess-Datei im Verzeichnis /www/htdocs/example1/example2 ist die CGI-Ausführung nicht zulässig, da nur Options Includes gilt, was alle früheren Einstellungen außer Kraft setzt.

Zusammenführung von .htaccess mit den Hauptkonfigurationsdateien

Wie in der Dokumentation über Konfigurationsabschnitte beschrieben, können .htaccess-Dateien die <Directory>-Abschnitte für das entsprechende Verzeichnis außer Kraft setzen, werden aber von anderen Arten von Konfigurationsabschnitten aus den Hauptkonfigurationsdateien außer Kraft gesetzt.

• Diese Tatsache kann genutzt werden, um bestimmte Konfigurationen zu erzwingen, selbst wenn eine großzügige AllowOverride-Einstellung vorhanden ist.
• Um beispielsweise die Ausführung von Skripten zu verhindern, während Sie alle anderen Einstellungen in .htaccess zulassen, können Sie Folgendes verwenden:

<Verzeichnis "/www/htdocs">
AllowOverride All
</Verzeichnis>

<Ort "/">
Optionen +IncludesNoExec -ExecCGI
</Ort>

In diesem Beispiel wird davon ausgegangen, dass Ihr DocumentRoot /www/htdocs lautet.

Beispiel für die Authentifizierung

Wenn Sie direkt zu diesem Teil des Dokuments gesprungen sind, um herauszufinden, wie Sie die Authentifizierung durchführen, ist es wichtig, eine Sache zu beachten.

• Es ist ein weit verbreiteter Irrglaube, dass Sie .htaccess-Dateien verwenden müssen, um die Passwortauthentifizierung zu implementieren.
• Dies ist jedoch nicht der Fall.
• Authentifizierungsrichtlinien in einem <Directory>-Abschnittin Ihrer Hauptkonfigurationsdatei des Servers zu platzieren, ist der bevorzugte Weg, dies zu implementieren, und .htaccess-Dateien sollten nur verwendet werden, wenn Sie keinen Zugriff auf die Hauptkonfigurationsdatei des Servers haben.
• Siehe oben für eine Diskussion darüber, wann Sie .htaccess-Dateien verwenden sollten und wann nicht.

Wenn Sie dennoch der Meinung sind, dass Sie eine . htaccess-Datei verwenden müssen, könnte eine Konfiguration wie die folgende für Sie geeignet sein.

Inhalt der .htaccess-Datei:

AuthType Basic
AuthName "Password Required"
AuthUserFile "/www/passwords/password.file"
AuthGroupFile "/www/passwords/group.file"
Require group admins

Beachten Sie, dass AllowOverride AuthConfig in Kraft sein muss, damit diese Direktiven eine Wirkung haben.

Eine ausführlichere Erläuterung der Authentifizierung und Autorisierung finden Sie im Tutorial zur Authentifizierung.

Beispiel für Server Side Includes

Eine weitere häufige Verwendung von .htaccess-Dateien ist die Aktivierung von Server Side Includes für ein bestimmtes Verzeichnis.

• Dies kann mit den folgenden Konfigurationsanweisungen erfolgen, die in einer .htaccess-Datei im gewünschten Verzeichnis platziert werden:

Optionen +Includes
AddType text/htmlshtmlAddHandler server-parsed shtml

Beachten Sie, dass AllowOverride Options und AllowOverride FileInfo beide in Kraft sein müssen, damit diese Direktiven eine Wirkung haben.

Im SSI-Tutorial finden Sie eine ausführlichere Diskussion über serverseitige Includes.

Umschreibregeln in .htaccess-Dateien

Bei der Verwendung von RewriteRule in.htaccess-Dateien ist zu beachten, dass der verzeichnisbezogene Kontext die Dinge ein wenig verändert.

• Insbesondere werden die Regeln als relativ zum aktuellen Verzeichnis betrachtet und nicht als die ursprünglich angeforderte URI.
• Betrachten Sie die folgenden Beispiele:

# In httpd.conf
RewriteRule "^/images/(.+)\.jpg" "/images/$1.png"

# In .htaccess im Stammverzeichnis
RewriteRule "^images/(.+)\.jpg" "images/$1.png"

# In .htaccess in images/
RewriteRule "^(.+)\.jpg" "$1.png"

In einer .htaccess in Ihrem Dokumentenverzeichnis wird der führende Schrägstrich aus dem an RewriteRule übergebenen Wert entfernt, und im Unterverzeichnisimages wird /images/ daraus entfernt.

• Daher muss Ihr regulärer Ausdruck auch diesen Teil auslassen.

Weitere Informationen zur Verwendung von mod_rewrite finden Sie in der Dokumentation zu mod_rewrite.

CGI-Beispiel

Schließlich können Sie eine .htaccess-Datei verwenden, um die Ausführung von CGI-Programmen in einem bestimmten Verzeichnis zu erlauben.

• Dies lässt sich mit der folgenden Konfiguration realisieren:

Optionen +ExecCGI
AddHandler cgi-script cgi pl

Wenn Sie möchten, dass alle Dateien in dem angegebenen Verzeichnis als CGI-Programme betrachtet werden, können Sie dies alternativ mit der folgenden Konfiguration erreichen:

Optionen +ExecCGI
SetHandler cgi-script

Beachten Sie, dass AllowOverride Options und AllowOverride FileInfo beide in Kraft sein müssen, damit diese Direktiven eine Wirkung haben.

Im CGI-Tutorial finden Sie eine ausführlichere Beschreibung der CGI-Programmierung und -Konfiguration.

Fehlersuche

Wenn Sie Konfigurationsrichtlinien in eine .htaccess-Dateieinfügen und nicht den gewünschten Effekt erzielen, kann eine Reihe von Dingen falsch laufen.

In den meisten Fällen liegt das Problem darin, dass AllowOverride nicht so eingestellt ist, dass Ihre Konfigurationsrichtlinien beachtet werden.

• Vergewissern Sie sich, dass für den fraglichen Dateibereich nicht die Option AllowOverride None in Kraft ist.
• Ein guter Test hierfür ist, Müll in Ihre .htaccess-Datei zu schreiben und die Seite neu zu laden.
• Wenn kein Serverfehler generiert wird, dann haben Sie mit ziemlicher Sicherheit AllowOverride None in Kraft.

Wenn Sie dagegen beim Zugriff auf Dokumente Serverfehler erhalten, überprüfen Sie Ihr httpd-Fehlerprotokoll.

• Es wird Ihnen wahrscheinlich mitteilen, dass die in Ihrer .htaccess-Datei verwendete Richtlinie nicht zulässig ist.

[Fri Sep 17 18:43:16 2010] [alert] [client 192.168.200.51] /var/www/html/.htaccess: DirectoryIndex hier nicht erlaubt

Dies weist entweder darauf hin, dass Sie eine Direktive verwendet haben, die in .htaccess-Dateien niemals erlaubt ist, oder dass Sie AllowOverride einfach nicht auf eine Stufe gesetzt haben, die für die von Ihnen verwendete Direktive ausreicht.

• Schauen Sie in der Dokumentation für die jeweilige Richtlinie nach, um festzustellen, was der Fall ist.

Es kann aber auch sein, dass Sie einen Syntaxfehler bei der Verwendung der Richtlinie selbst haben.

[Sat Aug 09 16:22:34 2008] [alert] [client 192.168.200.51] /var/www/html/.htaccess: RewriteCond: Falsche Flaggenbegrenzer

In diesem Fall sollte sich die Fehlermeldung auf den jeweiligen Syntaxfehler beziehen, den Sie begangen haben.

1. https://httpd.apache.org/docs/current/en/howto/htaccess.html