Hatena::ブログ(Diary)

masakiのはてなダイアリー RSSフィード

2006-08-17

lighttpd+suEXECでCGIを動かす

lighttpd + fastcgi + suExecでtracを動かすを見て,普通のCGIでもいけるんじゃないの?と思ったのでやってみた.環境はCentOS-4.3.

まず,suEXECはlighttpdについてこないので,独自にビルドするかRPMで入れてやる必要がある.ところがRPMで提供されているsuEXECはAP_DOC_ROOT="/var/www"となっていて,ユーザー別のCGIを/var/www以下で動かすという,なんとも使いにくい設定になってしまっている.よって/home以下でsuEXECが使えるようにビルドし直すのが良いと思う.

suEXECのビルド

Apacheビルド時にsuEXEC関連のオプションを指定する.自分が使ったsuEXEC関連のオプションだけ以下に.

$ ./configure \
  --enable-suexec \
  --with-suexec \
  --with-suexec-caller=apache \
  --with-suexec-docroot=/home \
  --with-suexec-logfile=/var/log/httpd/suexec.log \
  --with-suexec-bin=/usr/sbin/suexec \
  --with-suexec-uidmin=500 \
  --with-suexec-gidmin=500

出来上がったsuEXECの確認.

$ suexec -V
-D AP_DOC_ROOT="/home"
-D AP_GID_MIN=500
-D AP_HTTPD_USER="apache"
-D AP_LOG_EXEC="/var/log/httpd/suexec.log"
-D AP_SAFE_PATH="/usr/local/bin:/usr/bin:/bin"
-D AP_UID_MIN=500
-D AP_USERDIR_SUFFIX="public_html"

suEXECとCGIの起動スクリプトを作成

こちらを参考に,suEXEC用と普通のCGI用の起動スクリプトを書いた.suEXECはshebangを解釈して良きに計らってくれる(はず).lighttpdCGIの実行に関して,拡張子プログラムの対応を決め打ちで設定ファイルに書くが,shebangを見て自動でやって欲しいなーと思ったのでlighttpd-cgiというラッパーを書いてみた.

$ sudo vi /usr/sbin/llighttpd-suexec
#!/bin/sh

SUEXEC=/usr/sbin/suexec

DIR=`dirname $1`
SCRIPT=`basename $1`
USER=`stat -c '%U' $1`
GROUP=`stat -c '%G' $1`

cd $DIR
exec $SUEXEC $USER $GROUP $SCRIPT
$ sudo vi /usr/sbin/lighttpd-cgi
#!/bin/sh

SHEBANG=`perl -e 'print, last while <>' $1 | tr -d '#!'`
PATH="/usr/local/bin:/usr/bin:/bin" exec $SHEBANG $1

lighttpdの設定ファイルを変更

上記の起動スクリプトを使うようにlighttpdの設定を変更した.

$ sudo vi /etc/lighttpd/lighttpd.conf
server.modules += ( "mod_userdir" )

server.username = "apache"
server.groupname = "apache"

userdir.path = "public_html"
userdir.basepath = "/home/"

cgi.assign = ( ".cgi" => "/usr/sbin/lighttpd-cgi" )
$HTTP["url"] =~ "^/~.+/" {
  cgi.assign = ( ".cgi" => "/usr/sbin/lighttpd-suexec" )
}

設定は以上.これでlocalhost/hoge.cgiは(ユーザー名)apache権限で実行,localhost/~foo/bar.cgiはfoo権限で動くはず.ちなみにlocalhost/~foo/は/home/foo/public_htmlにマッピングされている.

スパム対策のためのダミーです。もし見えても何も入力しないでください
ゲスト


画像認証

トラックバック - http://d.hatena.ne.jp/ikasam_a/20060817/1155826140