对本地htpasswd文件进行身份验证有漏洞吗？

Question

我远程使用的其中一个组设置了subversion edge，它反映了我们的subversion存储库（请注意，我们不使用subversion edge）。我们的subversion使用LDAP身份验证。 Subversion edge使用本地htpasswd文件进行身份验证。

我只需使用https://xx.xx.xx.xx/svn/reponame即可访问远程位置的所有存储库，而不会提示您输入任何用户名或密码。这是一个洞吗？我怎样才能解决这个问题？我只希望有效的用户能够读/写。

提前致谢

Answer 1

  

这是一个洞吗？

没有。我认为它只是懒惰的SVN-admin，它没有正确配置auth-part并允许匿名阅读

必须从httpd.conf中的SVN Satisfy any中删除

<Location>，只有Require valid-user必须存在