Re: internal redirect и безопасность

[Nick Knutov]

Нашел в changelog:

Изменения в nginx 0.3.8                                           09.11.2005

     *) Безопасность: nginx теперь проверят URI, полученные от бэкенда в
        строке "X-Accel-Redirect" в заголовке ответа, или в SSI файле на
        наличие путей "/../" и нулей.

Однако неочевидно - проверяет - и что? Запрещает? А если у меня 
нестандартный случай и надо разрешить? Или не запрещает? И как тогда 
запретить? А как указать, что вообще делать и какую ошибку откуда отдать 
в случае если не так, как я хочу?


10.11.2012 18:51, Nick Knutov пишет:
> http://miksir.maker.ru/?r=69
>
> "Схема редиректов вносит потенциальную дыру в безопасности
> масс-хостинга, о которой следует упомянуть. Речь идет о случаях, когда
> клиент, используя свои скрипты, может сам выдать заголовок
> X-Accel-Redirect. Теоретически там может быть редирект на чужой файл
> (т.е. файл другого клиента). "
>
> Кусок конфига:
> location ^~ /internal_location/ {
>      alias /home/$user/www/$domain/;
>      internal;
> }
>
> Вопрос: можно ли запретить обработку ".." в пути в X-Accel-Redirect,
> чтобы исключить возможность отдать файл не из своего каталога?
>

-- 
Best Regards,
Nick Knutov
http://knutov.com
ICQ: 272873706
Voice: +7-904-84-23-130