☰

Apache не будет следовать символическим ссылкам даже с установленными разрешениями

tag-icon • tag-icon permissions apache-http-server symbolic-link
Apache не будет следовать символическим ссылкам даже с установленными разрешениями

Я не могу заставить apache следовать символическим ссылкам за пределами корневого каталога веб-сайта, хотя разрешения выглядят нормально и FollowSymLinks включен. Подробности ниже.

У меня есть два текстовых файла, доступных для чтения всем: /tmp/helloи /var/www/html/hello. Также в webroot у меня есть символические ссылки на оба этих файла. Оба кажутся нормальными.

$ ll /tmp
drwxrwxrwt. 27 root   root       4096 Jul  8 13:55 ./
dr-xr-xr-x. 23 root   root       4096 Jul  4 23:24 ../
-rw-r--r--.  1 root   root          6 Jul  8 13:55 hello

$ ll /var/www/html
drwxr-xr-x. 3 root   root   4096 Jul  8 13:56 ./
drwxr-xr-x. 6 root   root   4096 Apr  4 12:57 ../
-rw-r--r--. 1 root   root     20 Jul  8 14:03 hello
lrwxrwxrwx. 1 root   root      5 Jul  8 14:04 link-local -> /var/www/html/hello
lrwxrwxrwx. 1 root   root     10 Jul  8 13:56 link-tmp -> /tmp/hello

$ cat /var/www/html/link-local 
/VAR/WWW/HTML/HELLO

$ cat /var/www/html/link-tmp 
/TMP/HELLO

Apache может перейти по ссылке на корневой каталог веб-сайта:

$ curl http://localhost/link-local
/VAR/WWW/HTML/HELLO

Но Apache не будет переходить по символической ссылке на /tmp/:

$ curl http://localhost/link-tmp
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access /hellolink on this server.</p>
<hr>
<address>Apache/2.2.15 (CentOS) Server at localhost Port 80</address>
</body></html>

Это на CentOS 6; http работает от имени пользователя apache, группы apache.

Почему это происходит? Как это исправить?

решение1

Да, похоже, что виноват SELinux:

Ключ -Z будет работать с большинством утилит для отображения контекстов безопасности SELinux (например, «ls -Z», «ps axZ» и т. д.).

$ ll -Z /var/www/html/hello
-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 /var/www/html/hello

$ ll -Z /tmp/hello
-rw-r--r--. root root unconfined_u:object_r:user_tmp_t:s0 /tmp/hello

Два целевых файла имеют разные типы ( httpd_sys_content_tvs user_tmp_t), что объясняет разницу в доступности.

TheСтраница SELinux на centos.orgобъясняет -Zпереключение и многое, многое другое.

решение2

Вы устанавливаете FollowSymlinks в файле .htaccess или в <Directory>блоке?

Документация по опциям Apache 2.2предполагает, что FollowSymlinks будет работать только в этих контекстах — не могли бы вы опубликовать соответствующую конфигурацию?

(размещаю в качестве ответа из-за недостатка баллов для комментария)

Связанный контент