htaccessの参照元によるアクセス制限が効かない

現状

root
├ assets
│ ├ css
│ ├ js
│ │ ├ form.js
│ └ php
│ ├ PHPMailer
│ ├ .htaccess
│ └ form.php
└ index.html

上記のようなディレクトリで、『php』ディレクトリへのhtaccessでアクセス制限を掛けたいと思っています。
固有IPを取得していないため、すべてのアクセスを拒否した上で、『form.js』からのみ参照(※)できるようにしたいのですが、参照元からのアクセスが効きません。
お力添えいただけましたら、幸いです。

htaccess
1SetEnvIf Referer "^../js/form.js$" ref_ok
2Order deny,allow
3Deny from all
4allow from env=ref_ok

※form.jsからのみ参照させたい理由※
index.htmlにメールフォームを置いており、ajaxの非同期通信でform.phpに$_POSTを渡し、jsonでform.jsに返すという処理をしています。

エラー

index.htmlのメールフォームから送信しようとすると、form.jsからのアクセスができずに、下記エラーが返ります。

403 (Forbidden)
[an error occurred while processing this directive] 要求されたオブジェクトへのアクセス権がありません。読み込みが許可されていないか、サーバが読み込みに失敗したかでしょう。 [an error occurred while processing this directive]

参考にしたもの

http://www.shtml.jp/htaccess/referer.html
https://teratail.com/questions/6219
https://teratail.com/questions/250375

行動規範の内容に同意します

回答1件

ベストアンサー

etEnvIfじゃなくてSetEnvIfです。

投稿2020/07/07 07:52

otn

総合スコア85949

Naz.

2020/07/07 09:35

ありがとうございます。エスケープに自信がなさ過ぎて、そこに意識が向かってしまい脱字していることに全く気付きませんでした... そこは修正したんですが、結局、参照元からのアクセスもできていないようで、エラー内容が変わっただけでした。 403 (Forbidden) [an error occurred while processing this directive] 要求されたオブジェクトへのアクセス権がありません。読み込みが許可されていないか、サーバが読み込みに失敗したかでしょう。 [an error occurred while processing this directive]

otn

2020/07/07 09:50

一旦この設定を外して、許可したいリクエストをして、アクセスログにリファラーがどう載っているか確認しましょう。比べる情報が無いので、正規表現が合っているかどうか不明。

Naz.

2020/07/07 10:59

ありがとうございます。ご助言にそって、一旦該当部分をコメントアウトし、アクセスログをとってみました。現状、まだローカル環境なのでホスト名には設定したヴァーチャルホストのホスト名が表示されています。 xxx.x.x.x - - [07/Jul/2020:18:59:08 +0900] "POST /assets/php/form.php HTTP/1.1" 200 582 "http://(ホスト名)/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36" ...参照元、jsファイルではないですね...? jsファイルにajax通信でform.phpのurlを記載したので、jsからのアクセスだと思っていたんですが jsファイルを読んでるindex.htmlがアクセス元になっているということなんでしょうか...? 何はともあれ、併せて.htaccess側を下記2パターン試してみました。パターン① Order deny,allow Deny from all allow from ホスト名パターン② SetEnvIf Referer "http://ホスト名/" ref_ok Order deny,allow Deny from all allow from env=ref_ok 結局、パターン①では動かなかったんですが、パターン②でメールフォームは動くようになりました。またform.phpを直接URLでたたいた時に、「アクセス権がありません」と出るようになったんですが、これは、ブラウザからのアクセスは拒否しつつ、自サイトのファイル経由でのアクセスはできるようになったという理解で良いんでしょうか?

otn

2020/07/07 11:23

①は的外れですね。 >これは、ブラウザからのアクセスは拒否しつつ、自サイトのファイル経由でのアクセスはできるようになったという理解で良いんでしょうか? トップページ経由のアクセスだけ許可すると言うことです。

行動規範の内容に同意します