Рекомендация не включать mod_status основана на том факте, что если он будет доступен, то он будет доступен на всем сервере.
Когда вы затем позволите .htaccess
файлов (по умолчанию или в большинстве развертываний Apache httpd), то каждый пользователь, который может редактировать/создавать .htaccess
файлы могут включить статус URL. В отличие от большинства директив, которые можно включить/настроить из .htaccess
файлов область URL-адреса состояния не ограничивается путем к каталогу, в котором находится файл .htaccess, но предоставляет состояние всего сервера и всех размещенных на нем сайтов. Это может быть серьезной угрозой безопасности или утечкой информации на общем сервере.
Этот риск безопасности не обязательно должен существовать.
Когда сервер не используется многими веб-мастерами, а не зависит от .htaccess
файлы администраторы сервера могут загрузить все директивы в статическую конфигурацию, в httpd.conf
(и/или во фрагменты, которые включаются из подкаталогов sites-enabled и/или conf.d и т.д.).
Затем отключите все .htaccess
(установив AllowOverride нет
). Это также улучшает производительность кстати.
Тогда только администратор может включить URL-адрес состояния, и когда для этого URL-адреса установлены надлежащие элементы управления доступом, использование mod_status не представляет риска.