基于 Apache 的服务器

简介

所有可能的服务器当中，Apache为基础的服务器是最灵活的，尽管配置有一点复杂，但是提供了其他服务器没有的便利:

WebDAV

The Apache based Subversion server uses the WebDAV protocol which is supported by many other programs as well. You could e.g. mount such a repository as a “Web folder” in the Windows explorer and then access it like any other folder in the file system.

浏览版本库

你可以将浏览器指向版本库的URL，无需安装Subversion客户端就可以浏览内容，这样可以扩大访问你数据的用户圈。

认证

你可以使用所有Apache支持的认证机制，包括SSPI和LDAP。

安全

因为Apache非常稳定和安全，你的版本库可以自动获得同样的安全性，包括SSL加密。

安装 Apache

安装 Apache 的先决条件是有一台安装了 Windows 2000，Windows XP SP1+，Windows 2003，Vista 或 Windows Server 2008 的计算机。

警告

请注意，Windows XP 如果没有安装 SP1 将会导致不正常的网络传输，从而搞坏你的版本库！

1. 从 http://httpd.apache.org/download.cgi 下载最新版本的 Apache，请确认你下载的版本是 2.2.x － 1.3.xx 的版本不能工作！

   点击 other files，然后浏览 binaries/win32，可以找到 msi 格式的 Apache 安装文件。你可以选择 msi 文件 apache-2.2.x-win32-x86-openssl-0.9.x.msi (这个包含有 OpenSSL)。

2. 一旦你有了 Apache2 安装程序，你可以双击它，然后它会指导你的安装过程。请确认你输入的服务器 URL 正确(如果你的服务器没有 DNS 名称，请直接输入 IP 地址)。我建议为所有用户在 80 端口安装 Apache 服务。注意: 如果你已经有了 IIS 或其他监听 80 端口的程序，安装会失败。如果发生这种情况，直接到程序的安装目录 \Apache Group\Apache2\conf，打开 httpd.conf。编辑文件的 Listen 80 为其他可用的端口，例如 Listen 81，然后重新启动 － 这样就不会那个问题了。

3. 现在可以测试 Apache 服务器是否正确运行，将浏览器指向 http://localhost/ － 将会看到一个预先配置的网站。

小心

如果你决定将Apache安装为服务，缺省情况以本地系统帐户运行会发出警告，更安全的方法是为Apache创建一个单独的运行帐户。

请确认Apache运行的帐户是版本库目录的访问控制列表(右键目录|属性|安全)中一个明确的条目，对目录有完全的控制能力，否则，用户不能提交他们的修改。

即使Apache运行于本地系统，你仍然需要这个条目(这种情况下将是SYSTEM帐户)。

如果没有配置 Apache 的此访问权限，你的用户会得到“拒绝访问(Access denied)”的错误信息，在 Apache 的错误日志中的错误代码是 500。

安装 Subversion

 

1. Download the latest version of the Subversion Win32 binaries for Apache. Be sure to get the right version to integrate with your version of Apache, otherwise you will get an obscure error message when you try to restart. If you have Apache 2.2.x go to http://subversion.tigris.org/servlets/ProjectDocumentList?folderID=8100.

2. 运行Subversion安装程序，并根据指导安装，如果Subversion认识到你安装了Apache，你就几乎完成了工作，如果它没有找到Apache服务器，你还有额外的步骤。

3. 使用Windwos资源管理器，来到Subversion的安装目录(通常是c:\program files\Subversion)，找到文件/httpd/mod_dav_svn.so和mod_authz_svn.so，复制这些文件到Apache的模块目录(通常是c:\program files\apache group\apache2\modules )。

4. 从 Subversion 安装目录将 /bin/libdb*.dll 和 /bin/intl3_svn.dll 复制到 Apache 的 bin 目录。

5. 使用记事本之类的文本编辑器修改Apache的配置文件(通常是 C:\Program Files\Apache Group\Apache2\conf\httpd.conf)，做出如下修改:

   去掉以下几行的注释(删除 '#'标记):

   #LoadModule dav_fs_module modules/mod_dav_fs.so
   #LoadModule dav_module modules/mod_dav.so
   

   将以下两行到 LoadModule 节的末尾。

   LoadModule dav_svn_module modules/mod_dav_svn.so
   LoadModule authz_svn_module modules/mod_authz_svn.so
   

 

配置

现在你已经配置了 Apache 和 Subversion，但是 Apache 不知道如何处理 Subversion 客户端，例如TortoiseSVN。为了让 Apache 知道哪个 URL 是用作 Subversion 版本库，你需要使用任意文本编辑器(例如记事本)编辑 Apache 的配置文件(通常是 c:\program files\apache group\apache2\conf\httpd.conf):

1. At the end of the config file add the following lines:

   <Location /svn>
     DAV svn
     SVNListParentPath on
     SVNParentPath D:\SVN
     #SVNIndexXSLT "/svnindex.xsl"
     AuthType Basic
     AuthName "Subversion repositories"
     AuthUserFile passwd
     #AuthzSVNAccessFile svnaccessfile
     Require valid-user
   </Location>
   

   This configures Apache so that all your Subversion repositories are physically located below D:\SVN. The repositories are served to the outside world from the URL: http://MyServer/svn/ . Access is restricted to known users/passwords listed in the passwd file.

2. 为了创建 passwd 文件，再次打开命令行提示符(DOS 窗口)，进入 apache2 目录(通常是 c:\program files\apache group\apache2)，通过输入下面的命令创建文件

   bin\htpasswd -c passwd <username>
   

   它将会创建名为 passwd 的文件用于认证。用下面的命令增加其它用户

   bin\htpasswd passwd <username>
   

3. 再次重启Apache服务。

4. 将浏览器指向http://MyServer/svn/MyNewRepository(MyNewRepository是你此前创建的版本库名)，如果一切正常，你会被提示输入用户名和密码，然后你会看到版本库的内容。

你刚才输入的简短解释是:

表 3.1. 设置 Apache 的 httpd.conf

设置 解释

<Location /svn>	意思是Subversion版本库的URL是http://MyServer/svn/
DAV svn	告诉Apache是哪个模块响应那个URL的请求－此刻是Subversion模块。
SVNListParentPath on	对于 Subversion 1.3 或者更高版本，这个指示会列出所有 SVNParentPath 中的版本库。
SVNParentPath D:\SVN	告诉Subversion需要查看的版本库位于D:\SVN之下
SVNIndexXSLT "/svnindex.xsl"	使用它可以在用浏览器浏览时更好看。
AuthType Basic	激活基本认证，就是用户名/密码
AuthName "Subversion repositories"	用来说明何时弹出要求用户输入认证信息的认证对话框
AuthUserFile passwd	指定使用的认证密码文件
AuthzSVNAccessFile	位置Subversion版本库的访问控制文件的路径
Require valid-user	指定只有输入了正确的用户/密码的用户可以访问URL

但是那只是一个例子。对于 Apache 你有很多可能的选择。

• 如果你希望所有人可以读你的版本库，但是只有特定用户可以写，你可以修改下面几行

  Require valid-user
  

  to

  <LimitExcept GET PROPFIND OPTIONS REPORT>
  Require valid-user
  </LimitExcept>
  

• 使用 passwd 可以整体的控制对版本库的访问，但是如果你希望精确的控制版本库目录访问，你可以去掉下行的注释

  #AuthzSVNAccessFile svnaccessfile
  

  ，并且创建 Subversion 的访问控制文件。Apache 将会确保只有有效的用户可以访问你的 /svn 目录，然后将用户名传递给 Subversion 的 AuthzSVNAccessFile 模块，这样就可以根据 Subversion 访问控制文件内的规则实现更细粒度的访问控制。请注意路径可以是 repos:path 或简单的 path，如果你不指定特定的版本库，访问控制规则会应用到 SVNParentPath 下所有的版本库。使用的授权策略文件的格式在“路径为基础的授权”一节描述。

• 如果要使浏览器浏览仓库时更“漂亮”，请将去掉下行注释

  #SVNIndexXSLT "/svnindex.xsl"
  

  ，将文件 svnindex.xsl, svnindex.css 和 menucheckout.ico 放到你的文档根目录中(通常是 C:/Program Files/Apache Group/Apache2/htdocs)。 这个目录在 Apache 配置文件中用 DocumentRoot 指示设置。

  You can get those three files directly from our source repository at http://tortoisesvn.googlecode.com/svn/trunk/contrib/svnindex. (“TortoiseSVN 是完全免费的！”一节 explains how to access the TortoiseSVN source repository).

  TortoiseSVN 版本库中的 XSL 文件有个特性：如果你用浏览器浏览版本库，那么每个版本库中的目录右边会有个图标。如果你点击此图标，那么 TortoiseSVN 会为此 URL 启动检出对话框。

多版本库

如果你使用 SVNParentPath 指示，你就不必在每次添加新 Subversion 版本库时修改 Apache 的配置文件，只需要在第一个版本库所在的位置建立新的版本库就可以了。在我的公司，我可以使用 SMB(普通的 windows 文件访问)直接访问服务器的文件夹，所以我直接在那里创建一个目录，运行 TortoiseSVN 命令TortoiseSVN → 在此创建版本库...，然后一个新的项目建立了...

如果你使用 Subversion 1.3 或更高版本，可以使用 SVNListParentPath on 指示，这样当你使用浏览器访问父路径而不是具体某个版本库时 Apache 就会显示所有版本库列表。

路径为基础的授权

mod_authz_svn 模块可以根据用户名和路径实现细粒度的权限控制，它对 Apache 服务器有效，在 Subversion 1.3 以上版本的 svnserve 中也实现了基于路径的授权。

一个可能的例子:

[groups]
admin = john, kate
devteam1 = john, rachel, sally
devteam2 = kate, peter, mark
docs = bob, jane, mike
training = zak
# Default access rule for ALL repositories
# Everyone can read, admins can write, Dan German is excluded.
[/]
* = r
@admin = rw
dangerman =
# Allow developers complete access to their project repos
[proj1:/]
@devteam1 = rw
[proj2:/]
@devteam2 = rw
[bigproj:/]
@devteam1 = rw
@devteam2 = rw
trevor = rw
# Give the doc people write access to all the docs folders
[/trunk/doc]
@docs = rw
# Give trainees write access in the training repository only
[TrainingRepos:/]
@training = rw

请注意，检查每一条路径是一件消耗极大的操作，特别是修订版本日志，服务器会检查在每一个修订版本的每一条路径是否可读，对于影响很多文件的修订将会花费很多时间。

认证和授权是不同的处理过程，如果用户希望获得对版本库的访问，他需要通过全部检查，即通常的认证需求和访问控制文件的授权需求。

使用 Windows 域认证

你已经注意到了，你需要为每个用户在passwd文件中创建用户名/密码条目，如果(因为安全原因)他们希望周期性的修改他们的密码，你需要手动的做出修改。

但是对于此问题有另一个解决方案 － 至少是你在使用域控制器的 LAN 中访问版本库时: mod_auth_sspi！

最初的 SSPI 是由 Syneapps 提供的，包括源代码。但是它的开发已经终止。不过不要失望，社区重新拾起代码并进行了改进，它现在的新主页在SourceForge。

• 下载此匹配你的 Apache 版本的模块，将文件mod_auth_sspi.so复制到 Apache 的 modules 目录。

• 编辑 Apache 的配置文件: 增加一行

  LoadModule sspi_auth_module modules/mod_auth_sspi.so
  

  到 LoadModule 节。确认你在下行之前插入此行

  LoadModule auth_module modules/mod_auth.so
  

• 为了让 Subversion 领域使用此认证类型，你需要将

  AuthType Basic
  

  修改为

  AuthType SSPI
  

  并且在 <Location /svn> 中增加

  SSPIAuth On
  SSPIAuthoritative On
  SSPIDomain <domaincontroller>
  SSPIOmitDomain on
  SSPIUsernameCase lower
  SSPIPerRequestAuth on
  SSPIOfferBasic On
  

  如果你没有域控制器，可以将域控制器的名称置为 <domaincontroller> 。

请注意，当你使用 SSPI 认证时，没有必要再使用 AuthUserFile 行定义密码文件，Apache 使用 Windows 域验证你的用户名和密码，你需要更新 svnaccessfile 中的用户列表来引用 DOMAIN\username。

重要

只有使用 SSL 加密连接(https)时才可以启用 SSPI 认证。如果你只是用普通 http 协议连接到服务器，那么它不会工作。

要使你的服务器启用 SSL，请看: “用 SSL 使服务器更安全”一节

提示

Subversion 的 AuthzSVNAccessFile 文件对用户名大小写敏感(JUser 与 juser 不同)。

在微软的世界，Windows 域和用户名不是大小写敏感。即使如此，一些网络管理员还是喜欢创建首字母大写的用户帐号(例如 JUser)。

使用SSPI的一个问题是用户名和密码是用户在提示输入时发送到Subversion的，而IE经常会不管你的帐户是如何建立的都会自动发送你的用户名。

结果就是你必须为每个用户在 AuthzSVNAccessFile 中至少创建两个条目：一个小写的条目和一个与 IE 传递给 Apache 一样的条目，你也需要训练你的用户在通过 TortoiseSVN 输入访问版本库的凭证时使用小写字母。

Apache 的错误和访问日志是你最好的朋友，例如帮助你检测传递给 Subversion 的 AuthzSVNAccessFile 模块的用户名，你或许需要试验 svnaccessfile 中用户字符串的精确格式(例如 DOMAIN\user 还是 DOMAIN//user)来使一切工作正常。

多重认证源

也可以为Subversion使用不止一个的认证源，为此，你需要将每一种认证设置为non-authoritative，这样Apache会在多个源检查用户名/密码。

一个常见的场景就是同时使用Windows域和passwd文件认证，这样你可以为没有Windows域帐户的用户提供访问SVN的权限。

• To enable both Windows domain and passwd file authentication, add the following entries within the <Location> block of your Apache config file:

  AuthBasicAuthoritative Off
  SSPIAuthoritative Off
  

Here is an example of the full Apache configuration for combined Windows domain and passwd file authentication:

<Location /svn>
  DAV svn
  SVNListParentPath on
  SVNParentPath D:\SVN

  AuthName "Subversion repositories"
  AuthzSVNAccessFile svnaccessfile.txt

# NT Domain Logins.
  AuthType SSPI
  SSPIAuth On
  SSPIAuthoritative Off
  SSPIDomain <domaincontroller>
  SSPIOfferBasic On

# Htpasswd Logins.
  AuthType Basic
  AuthBasicAuthoritative Off
  AuthUserFile passwd

  Require valid-user
</Location>

用 SSL 使服务器更安全

虽然 Apache 2.2.x 支持 OpenSSL，它默认却没有激活。你可以手动激活它。

1. 在 apache 配置文件中，取消这些行的注释:

   #LoadModule ssl_module modules/mod_ssl.so
   

   和最后面的

   #Include conf/extra/httpd-ssl.conf
   

   接着将这一行(在配置文件中这是一行)

   SSLMutex "file:C:/Program Files/Apache Software Foundation/\
   Apache2.2/logs/ssl_mutex"
   

   改为

   SSLMutex default
   

2. Next you need to create an SSL certificate. To do that open a command prompt (DOS-Box) and change to the Apache folder (e.g. C:\program files\apache group\apache2) and type the following command:

   bin\openssl req -config conf\openssl.cnf -new -out my-server.csr
   

   You will be asked for a passphrase. Please don't use simple words but whole sentences, e.g. a part of a poem. The longer the phrase the better. Also you have to enter the URL of your server. All other questions are optional but we recommend you fill those in too.

   Normally the privkey.pem file is created automatically, but if it isn't you need to type this command to generate it:

   bin\openssl genrsa -out conf\privkey.pem 2048
   

   Next type the commands

   bin\openssl rsa -in conf\privkey.pem -out conf\server.key
   

   and (on one line)

   bin\openssl req -new -key conf\server.key -out conf\server.csr \
   -config conf\openssl.cnf
   

   and then (on one line)

   bin\openssl x509 -in conf\server.csr -out conf\server.crt
                    -req -signkey conf\server.key -days 4000
   

   This will create a certificate which will expire in 4000 days. And finally enter (on one line):

   bin\openssl x509 -in conf\server.cert -out conf\server.der.crt
                    -outform DER
   

   These commands created some files in the Apache conf folder (server.der.crt, server.csr, server.key, .rnd, privkey.pem, server.cert).

3. 重启 apache 服务。

4. 将你的浏览器指向https://servername/svn/project ...

SSL 和 Internet Explorer

如果你使用SSL保护你的服务器，并使用windows域来进行认证，你会发现不能使用IE浏览版本库了，不需要担心－那只是因为IE没有经过认证，其他浏览器没有这个问题，TortoiseSVN和其他Subversion客户端仍然可以得到认证。

如果你一直希望使用IE浏览你的版本库，你可以选择:

• 在 Apache 的配置文件定义一个单独的 <Location /path> 指示，增加 SSPIBasicPreferred On。这将使 IE 能够认证，但是其他浏览器和 Subversion 不能对这个领域认证。

• 也提供未加密(没有SSL)认证的浏览，奇怪的IE在没有使用SSL的认证时没有任何问题。

• 在 SSL 的“标准”配置中，通常在 apache 的虚拟 SSL 主机内有下面的内容:

  SetEnvIf User-Agent ".*MSIE.*" \
               nokeepalive ssl-unclean-shutdown \
               downgrade-1.0 force-response-1.0
  

  这种设置的充足理由参见 http://www.modssl.org/docs/2.8/ssl_faq.html#ToC49。但是如果你希望使用 NTLM 认证，就必须使用 keepalive。如果启用全部 SetEnvIf，你就可以使 IE 用 Windows 认证访问运行在 Win32 上加载了 mod_auth_sspi 模块的 Apache。

强制 SSL 访问

当你设置了 SSL 让你的版本库更安全，你一定希望关闭普通的非 SSL (http) 访问。为此，你需要在 Subversion 的 <Location> 增加指示: SSLRequireSSL。

An example <Location> block would look like this:

<Location /svn>
  DAV svn
  SVNParentPath D:\SVN
  SSLRequireSSL
  AuthType Basic
  AuthName "Subversion repositories"
  AuthUserFile passwd
  #AuthzSVNAccessFile svnaccessfile
  Require valid-user
</Location>

在虚拟 SSL 主机中使用客户端证书

由 Nigel Green 发送到 TortoiseSVN 邮件列表。非常感谢！

在某些情况下你需由要 1 台服务器掌管 2 个虚拟的 SSL 主机: 第 1 个用于公共 web 浏览，不需要客户端证书。第 2 个必需通过客户端证书来保证安全，运行 Subversion 服务器。

在 Apache 配置文件的 per-server 部分中添加 SSLVerifyClient Optional 指令(例如，在任何 VirtualHost 和 Directory 块之外)强制 Apache 在开始 SSL 连接握手时索取客户端证书。由于 mod_ssl 中的一个错误，在这个时候索取客户端证书是非常有必要的，因为当 SSL 连接重新协商时，它就不会生效了。

解决方案就是在 Subversion 虚拟主机的目录配置部分添加下面的指令:

SSLRequire %{SSL_CLIENT_VERIFY} eq "SUCCESS"

这个指令确认只有在收到客户端证书并成功验证后才能有权读取目录。

总之，Apache 配置文件中的相关内容就是这样的:

SSLVerifyClient Optional

### 公共访问虚拟主机 
### (不需要客户端证书)

<VirtualHost 127.0.0.1:443>
  <Directory "pathtopublicfileroot">
  </Directory>
</VirtualHost>

### SUBVERSION 虚拟主机
### (需要客户端证书)
<VirtualHost 127.0.0.1:443>
  <Directory "subversion host root path">
    SSLRequire %{SSL_CLIENT_VERIFY} eq "SUCCESS"
  </Directory>

  <Location /svn>
    DAV svn
    SVNParentPath /pathtorepository
  </Location>
</VirtualHost>