A basic auth a webszerver szintjén működik, nem az alkalmazásban. Az nginx vagy az Apache maga kéri el a jelszót. Amíg nincs meg, a kérés el sem jut a PHP-hoz vagy az alkalmazáshoz, ezért olyan hibák ellen is véd, amelyek még a belépés előtt kihasználhatók, mint a PHP2Shell.
Mire figyeljünk
- Csak HTTPS-en használjuk, mert a jelszó minden kérésben utazik.
- A jelszófájl ne a webrootban legyen és ne legyen mindenki számára olvasható.
- A server blokk szintjén állítsuk be, hogy minden útvonalra érvényes legyen.
- A jelszót próbálgató címeket a fail2ban kitilthatja.
A beállítás menetét kódrészlettel a PHP2Shell útmutatónk mutatja be.