Как ограничить доступ к xml файлу для пользователей?

Question

[Анастасия Умнова]

Добавили в исключения nginx расширение xml.
В файл htaccess добавляли:

<Files "tracking.xml">
Order deny,allow
Deny from all
</Files>

<FilesMatch ".(xml)$">
Deny from all
</FilesMatch>

На локальном сервере xampp срабатывает, при загрузке файла htaccess на хостинг - нет. Какими еще способами можно ограничить доступ к файлу?

Comments

[Lynn «Кофеман»]

Таки при чём тут nginx?

[Sand]

Какой веб-сервер используется на хостинге?

[Анастасия Умнова]

Sand, nginx

[Sand]

Анастасия Умнова, только nginx? создайте в проекте файл info.php, пропишите туда код

<?php
phpinfo();
?>

Откройте в браузере: "адрес_сервера_хостинга/info.php". Там найдите Server API и SERVER_SOFTWARE что там?
Если действительно только nginx - то он не обрабатывает файл htaccess. И тогда для настройки доступа надо смотреть в сторону редактирования конфигурационного файла nginx для сайта

[Анастасия Умнова]

Sand, Server API - Apache 2.0 Handler, SERVER_SOFTWARE - Apache. Файл htaccess отрабатывает, но не указанные директивы.

[Sand]

Анастасия Умнова, покажите весь файл htaccess

[Анастасия Умнова]

Sand,

весь файл htaccess

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
    RewriteCond %{HTTP_HOST} ^www\.(.+)$ [NC]
    RewriteRule ^ https://%1%{REQUEST_URI} [R=301,L]
    Options +SymLinksIfOwnerMatch
        RewriteEngine On
        RewriteCond %{THE_REQUEST} ^[A-Z]{3,9}\ /index\.html\ HTTP
        RewriteRule ^index\.html$ https://brokbridge.com/ [R=301,L]
        RewriteCond %{HTTP_HOST} ^www.brokbridge\.com$ [NC]
        RewriteRule ^(.*)$ https://brokbridge.com/$1 [R=301,L]
</IfModule>



# basic compression
<IfModule mod_gzip.c>
	mod_gzip_on Yes
	mod_gzip_dechunk Yes
	mod_gzip_item_include file \.(html?|txt|css|js)$
	mod_gzip_item_include mime ^text/.*
	mod_gzip_item_include mime ^application/x-javascript.*
	mod_gzip_item_exclude mime ^image/.*
	mod_gzip_item_exclude rspheader ^Content-Encoding:.*gzip.*
</IfModule>

#Cache Control
<IfModule mod_expires.c>
    ExpiresActive on
    ExpiresDefault                                      "access plus 1 month"

  # CSS
    ExpiresByType text/css                              "access plus 1 year"

  # Data interchange
    ExpiresByType application/json                      "access plus 0 seconds"
    ExpiresByType application/xml                       "access plus 0 seconds"
    ExpiresByType text/xml                              "access plus 0 seconds"

  # Favicon (cannot be renamed!)
    ExpiresByType image/x-icon                          "access plus 1 week"

  # HTML components (HTCs)
    ExpiresByType text/x-component                      "access plus 1 month"

  # HTML
    ExpiresByType text/html                             "access plus 0 seconds"

  # JavaScript
    ExpiresByType application/javascript                "access plus 1 year"

  # Manifest files
    ExpiresByType application/x-web-app-manifest+json   "access plus 0 seconds"
    ExpiresByType text/cache-manifest                   "access plus 0 seconds"

  # Media
    ExpiresByType audio/ogg                             "access plus 1 month"
    ExpiresByType image/gif                             "access plus 1 month"
    ExpiresByType image/jpeg                            "access plus 1 month"
    ExpiresByType image/png                             "access plus 1 month"
    ExpiresByType video/mp4                             "access plus 1 month"
    ExpiresByType video/ogg                             "access plus 1 month"
    ExpiresByType video/webm                            "access plus 1 month"

  # Web feeds
    ExpiresByType application/atom+xml                  "access plus 1 hour"
    ExpiresByType application/rss+xml                   "access plus 1 hour"

  # Web fonts
    ExpiresByType application/font-woff2                "access plus 1 month"
    ExpiresByType application/font-woff                 "access plus 1 month"
    ExpiresByType application/vnd.ms-fontobject         "access plus 1 month"
    ExpiresByType application/x-font-ttf                "access plus 1 month"
    ExpiresByType font/opentype                         "access plus 1 month"
    ExpiresByType image/svg+xml                         "access plus 1 month"
</IfModule>

<Files "tracking.xml">
Order deny,allow
Deny from all
</Files>

[Sand]

Анастасия Умнова,

curl -I https://brokbridge.com/tracking.xml
HTTP/2 404 
server: nginx
date: Fri, 12 Nov 2021 07:25:48 GMT
content-type: text/html; charset=iso-8859-1
vary: Accept-Encoding
strict-transport-security: max-age=300;

[Sand]

Анастасия Умнова, положите пустой файл tracking.xml на сайт

[Анастасия Умнова]

Sand, добавили, с пустым файлом выдает ошибку 403

[Sand]

Анастасия Умнова, Ну да, 403 forbidden, так и должно быть по этим правилам, а Вы какой результат ожидаете?

[Анастасия Умнова]

Sand, к файлу с названием на русском "Трекинг.xml" доступ не запрещается. Мы пробовали варианты <Files "Tрекинг.xml"> и

<Files "%D0%A2%D1%80%D0%B5%D0%BA%D0%B8%D0%BD%D0%B3.xml">

. Просить администратора, что выгружает нам файл, называть его латинскими буквами?

[Sand]

Анастасия Умнова,

<FilesMatch ".(xml)$">
Deny from all
</FilesMatch>

это точно не работает? Проверил на одном из своих - порядок как с латиницей так и с киррилицей

[Анастасия Умнова]

Sand, да, проверяли

[Sand]

Анастасия Умнова, у Вас кэширование nginx не включено случаем?

<FilesMatch ".(xml)$">
Deny from all
</FilesMatch>

это рабочий код. Посмотрите в панели управления хостингом, есть ли возможность отключить кэширование? (Потом не забудьте включить)

[Анастасия Умнова]

Sand, Спасибо, нашли в настройках, проблема решилась.

[Sand]

Анастасия Умнова, отключение/включение кэширования помогло?

[Анастасия Умнова]

Sand, лично у меня к ним нет доступа, руководитель менять настройки в панели управления отказался, поэтому переименовали файл