Проблема безопасности: nginx (+ISPManager, как частный случай)

Есть еще deb. Много где есть ;)

Почему, собственно, "не совсем решение"? Если изначальной проблемой считать саму идею раздачи статики nginx-ом, минуя апач - то очень даже решение.

Симлинками ведь дело не ограничится - у вас *напрямую* с файлами пользователя будут работать *два* вебсервера. Для "своих" проектов сойдет, а в массе - вызывает, мягко говоря, недопонимание. Что если клиент захочет ограничить доступ к статике правилами .htaccess? Или expires выставить? ispmanager ведь еще и логи пишет в общие с апачем файлы. Это вообще на грани кретинизма.

Тут в соседнем топике недавно обсуждали забавную проблему о выкидывании из обновления поддержки контроллера. Такая ситуация действительно возможна в дебиане или это была теоретическая ситуация? Если да, то операционной системой, пригодной для (коммерческого) использования, его назвать уж точно нельзя, а значит и пакеты хостерам не нужны :p

А проксировать нгинксом тоже нельзя?

При использовании nginx он не пишет в access-лог апачем и не пишет в error-лог нгинксом.

Вы шутите :) Это был андрейка, какая уж там "ситуация".

Теоретически, из main могут выпилить какой-то драйвер, если он ну совсем уж никем не поддерживается. Пакет заброшен мейнтейнером, критические проблемы в стабильном релизе не исправляют. А изменение лицензии - это уж совсем андрейка зафантазировался. Не получится "закрыть" открытый драйвер - а иной попросту не попадет в Debian.

Можно. Согласитесь, это все-таки дает некоторые приемущества. Причем все прозрачно для клиента, без засад на пустом месте.

Вопрос глупо (или, скажем так, провокационно ;)) поставлен. Вообще, "можно" - делать все что позволяет фантазия и физическая реальность. Не значит что нужно.

Может и поправили. Раньше - писал.

Еще одна весёлость: теперь на уровне стандартной конфигурации apache:

Глобально имеем ...conf.d/secure.conf

<Directory /var/www/*>

Options +Includes -FollowSymLinks +SymLinksIfOwnerMatch

AllowOverride FileInfo AuthConfig Limit Indexes Options

...

</Directory>

-SymLinksIfOwnerMatch хоть и нельзя сделать в контексте .htaccess, зато достаточно переопределить +FollowSymLinks, и получаем тоже самое, но на уровне апача.

Судя по всему, для традиционных mpm придется отбирать FollowSymLinks из Options Override, а per-user/itk не подвержены, ибо на момент хождения по линку, они уже форкнуты в user/mgrsecure.

Ну с nginx понятно с апачи вы перегнули )

Покажите как вы проверяли.

Ну а какой буратин разрешил это "переопределить"? ;)

Нет. Читать документацию и не разрешать AllowOverride Options без крайней необходимости.

mpm worker, коробочный конфиг, дальше по принципу с nginx'ом.

Манагер же :)

nginx тоже не так страшен без дефолтной раздачи статики, кою делает манагер.

Когда это worker стал коробочным конфигом. путаете вы что-то батенька, на куролесили в конфигах.

Если не ставится mod_php, ставится worker по умолчанию.

Это из той же коробки, где два вебсервера в один лог пишут? 😂 Ни в одной нормальной "коробке" - так по-умолчанию не делают. Даже плеск вроде такого не творил, не говоря уже о дистрибутивах.

Что, там до сих пор Options разрешен по-умолчанию - может у вас старая версия? :)