防止 Web 客户机访问服务器上的文件

文件保护文档控制对用户可通过 Web 浏览器访问的非数据库文件的访问。数据库文件 (.NSF) 的 ACL（访问控制表）指定可以访问它们的用户的名称以及这些用户拥有的访问级别，同样您也可以对浏览器用户能够访问的文件（如 HTML、JPEG 和 GIF）强制实施文件保护，也就是为这些类型的文件指定访问级别以及可以访问它们的用户的名称。

关于此任务

“文件保护”文档是初始服务器启动期间在 Domino® 目录中创建的。此文档为管理员提供了对 Domino® 目录的“写入”、“读取”和“执行”访问权。为其他用户指定的是“无访问权限”。“文件保护”文档是一种安全性功能，通过控制 Web 客户机对文件的访问权限来保护服务器硬盘上的文件。可以对浏览器用户可访问的文件强制执行文件系统安全性，包括访问级别和可访问这些文件的用户名。

注： 尽管还可以将文件保护应用于 CGI script，但是文件保护不延伸到由这些 script 访问的其他文件。例如，可以对 CGI script 应用文件保护，以限制名为“Web Admins”的组的访问。但是，如果 CGI script 运行时要打开其他文件，或者要触发其他 script 脚本运行，则“文件保护”文档不能控制“Web Admins”是否能够访问这些附加文件。

但是，文件保护应用于访问其他文件的文件，如打开图像文件的 HTML 文件。如果用户有权访问 HTML 文件，但无权访问该 HTML 文件使用的 JPEG 文件，那么当用户打开该 HTML 文件时，Domino® 不会显示该 JPEG 文件。

不要创建限制对以下目录的访问权的“文件保护”文档，这些目录包含由 Domino® Web 服务器和其他应用程序（如邮件数据库）使用的缺省图像文件和 Java™ applet：

  • Domino\data\domino\java，通过 Web 浏览器使用以下路径进行访问

    http://server/domjava

  • Domino\data\domino\icons，通过 Web 浏览器使用以下路径进行访问

    http://server/icons

可以为目录或单个文件创建“文件保护”文档。所有目录都继承对其父目录定义的保护功能。必须为 Web 用户可访问的所有目录设置“文件保护”文档。不具有“文件保护”文档的文件和文件目录可以由任何用户使用 Web 浏览器来访问。

注： 无需使用“文件保护”文档来保护数据库 (.NSF) 文件。数据库是用 ACL 进行保护。

为“Web 站点”文档创建文件保护

关于此任务

可以为特定 Web 站点创建文件保护文档。此“文件保护”文档仅应用于该特定 Web 站点。

“文件保护”文档提供的安全性有限。使用 Domino® 安全性功能（如数据库 ACL）来保护敏感信息。

过程

  1. 从 Domino® Administrator 中，选择配置 > Web > 因特网站点。
  2. 打开要为其创建文件保护的“Web 站点”文档。
  3. 单击 Web 站点并选择创建文件保护。
  4. 单击基本，然后填写以下字段：
    表 1. “基本”选项卡字段

    字段

    操作

    描述

    输入用于将此文档与您所创建的其他文档区分开的名称。

    目录或文件路径

    指定要限制对其访问的目录或文件路径。应当采用包括盘符的标准路径格式（例如 c:\domino\data\domino\cgi-bin），或者输入相对于服务器数据目录的路径（例如 domino\cgi-bin）。

    Current® 访问控制列表

    显示可以访问指定文件或目录的用户和组以及所允许的访问类型。与数据库 ACL 类似，最初创建的访问控制表始终具有设置为“-Default--(No Access)”项，您可对该项进行修改。与数据库 ACL 一样，未在“访问列表”中列出的用户将接受缺省的访问级别。

    设置/修改访问控制表
    要向访问控制表中添加用户，请单击设置/修改访问控制表。从 Domino® 目录中选择用户名或组，或者在“名称”字段中输入名称。选择以下某项：
    • “读取”/“执行”访问权（GET 方法）
    • “写入”/“读取”/“执行”访问权（POST 和 GET 方法）
    • 不可访问
    单击添加以将该条目添加到访问控制表中。

    GET 允许用户打开目录中的文件并启动其中的程序。POST 通常用于将数据发送到 CGI 程序，因此，仅对包含 CGI 程序的目录给予 POST 访问权限。“无访问权限”表示拒绝指定的用户或组访问。

    要从列表中除去某个条目，请选择该条目，然后单击清除。

    如果用户使用匿名访问权连接到服务器，请在“名称”字段中输入“Anonymous”，然后指定相应的访问权。

    注： 如果您希望输入驻留在 LDAP 目录中的用户名，则必须用斜杠替换逗号定界符。不要在名称中使用逗号作为定界符。

    例如，具有下列名称格式的 LDAP 用户： 

    cn=Anthony Jones,l=westford,o=renovations.com

    应当按如下方式输入到“文件保护”文档的访问列表中：

    cn=Anthony Jones/l=westford/o=renovations.com
  5. 单击管理并填写所有者和管理员字段。缺省情况下，登录所用的管理员名称是在这两个字段中指定的名称。
  6. 保存该文档。
  7. 输入下面的命令以刷新设置：

    tell http refresh

示例

在“文件保护”文档的字段中指定以下设置将允许 Web 用户组中的所有用户在 c:\notes\data\domino\html 目录中打开文件并启动程序。

路径： c:\notes\data\domino\html

访问：Web 用户组 (GET)

访问：- 缺省 -（无访问权）

文件“secret.htm”位于 notes\data\domino\html 子目录中。可以禁止 Web User Group 中的成员访问此文件，而仅允许用户 Joe Smith 访问。要实现这一点，请创建具有以下设置的附加“文件保护”文档：

路径： c:\notes\data\domino\html\secret.html

访问：- 缺省 -（无访问权）

访问：Joe Smith (GET)