From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <420088D3.4020208@altlinux.ru> Date: Wed, 02 Feb 2005 10:01:23 +0200 From: Andrei Bulava User-Agent: Mozilla Thunderbird 1.0 (X11/20041206) X-Accept-Language: ru-ru, ru MIME-Version: 1.0 To: ALT Devel discussion list Subject: Re: [devel] apache README.ALT additions wanted References: <20050129204231.GA2718@sass.frontier> <20050130144910.GD12311@mithraen.dimline.ru> <20050130155006.GI7805@osdn.org.ua> <200502020210.44222.cray@neural.ru> <20050202064937.GN31800@osdn.org.ua> In-Reply-To: <20050202064937.GN31800@osdn.org.ua> X-Enigmail-Version: 0.90.0.0 X-Enigmail-Supports: pgp-inline, pgp-mime Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit X-BeenThere: devel@altlinux.ru X-Mailman-Version: 2.1.5 Precedence: list Reply-To: ALT Devel discussion list List-Id: ALT Devel discussion list List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Wed, 02 Feb 2005 08:01:25 -0000 Archived-At: List-Archive: List-Post: Michael Shigorin пишет: > Тем не менее то ли ты не так понял suexec, то ли он > тебя, то ли я вас обоих -- но cgi, лежащий в $HOME (в сайте, > который симлинком из /var/www), благополучно взорвался. А что, разве при вкомпилированном в suexec пути /var/www должно быть иначе? realpath(3) cgi, лежащего в /home/*, не изменится от того, что сайт выглядит как находящийся в /var/www благодаря симлинку, указывающему в /home/*. Когда я об этом спрашивал, мне здесь или в sisyphus@ посоветовали использовать mount --bind, хотя это решение имеет свои последствия - вывод df у простых пользователей будет ругаться "df: `<недоступная_директория>': Permission denied" на все смонтированные через mount --bind директории, прав на которые нет у вызывающего df пользователя (а на коммерческом хостинге таких директорий будет не одна штука...) > > Я-то его перенесу на историческую родину и перелинкую навыворот, > но это надо будет ясно зафиксировать в ридми. Поучаствуйте в обсуждении такого варианта: 1) виртхосты живут в /var/www/vhosts (vhosts - не краеугольный камень, меня устроит любой вариант, ясно отделяющий _все_ виртхосты от /var/www/{cgi-bin,html,icons,...}) 2) структура виртхоста - директория с именем, повторяющим ServerName виртхоста (опять не краеугольный камень, "я так делаю"), содержит: cgi-bin, html (это есть DocumentRoot виртхоста). Для удобства пользователей, не желающих вылазить за пределы $HOME, и админов, не дающих им такой возможности, симлинки (а скорее mount --bind, см. далее) делаются в $HOME и указывают в /var/www/vhosts/ Плюсы: 1) в suexec вкомпилирован /var/www, realpath cgi-скриптов ему соответствует. 2) одному пользователю легко может принадлежать несколько виртхостов, для этого хорош подход по созданию в $HOME симлинков вида $HOME/ -> /var/www/vhosts/ Минусы: 1) chroot'изированный в $HOME ftp- или scp/sftp-доступ невозможен без использования mount --bind. Если огромное количество "Permission denied" в выводе df у простых пользователей не смущает (хотя о каком запуске df может идти речь при ftp- или scponly-доступе?), жизнь вполне прекрасна. Ну, а если у пользователя не chroot'изированный scp/sftp-доступ, то костыль с mount --bind ему и вовсе не понадобится. В конце концов, зачем придумали cifs? И симлинками можно обойтись, и "запирание" пользователя в $HOME поддерживается легким движением руки. IMHO, риск от использования cifs вряд ли больше, чем от использования ftp. 2) ... (?) -- // AB1002-UANIC