security - Apache 忽略 SSLRequire 指令

Question

我已设置 Apache 来提供 Subversion 数据。配置看起来像这样，

<Location /svn>
 DAV svn
 SVNPath /path/to/svn
 AuthType Basic
 AuthName "My Project"
 AuthUserFile /etc/httpd/dav_svn.passwd
 Require valid-user
 SSLRequireSSL
 <LimitExcept GET PROPFIND OPTIONS REPORT>
   Require valid-user
 </LimitExcept>
</Location>

这按预期工作。

但是，我想放宽 SSL 要求，这样来自 localhost 的连接就不需要它了。我用 SSLRequire 指令替换了 SSLRequireSSL 指令。

但是 Apache 似乎完全忽略了 SSLRequire 指令。

两者，

SSLRequire true

和

SSLRequire false

导致相同的行为!它们都允许非 SSL 连接。

我错过了什么？

(Apache 版本:2.2.11)

Answer 1

我认为您需要:SSLOptions +StrictRequire