Subversion权限配置的一些参考(纯svn和基于apache)
安全和权限
- 对于以svnserve -d启动的服务器，修改代码库目录/conf/svnserve.conf，主要步骤：（在配置文件中，变量前不要有空格。）
1) 对于svnserve.conf，注意[general]段，其中4项的主要含义：
Ø anon-access 定义匿名用户的权限（write，read，none）。
Ø auth-access 定义认证过用户的权限（write，read，none）
Ø password-db 定义用户密码列表文件名
Ø realm 一般是版本库的uuid。如果有2个版本库的这个属性一样，那么password-db的值也必须一样。反之亦然。
2) 定义用户密码列表文件内容，格式：
[users]
用户名=密码，注意这个是大小写敏感的。
3) 启动服务器，在提示用户输入安全信息时，缺省是用户的OS的登录名，此时直接提示输入密码。如果密码不对，则会提示输入用户名，然后是密码。
例子：
| svnserve.conf |
[general] ### 禁止匿名用户访问
anon-access = none ### 验证过的用户具有读写权限
auth-access = write ### 定义用户密码列表文件名文件名为 userlist.txt
password-db = userlist.txt ### 定义 realm
realm = My First Repository |
| 用户密码列表文件名 （userlist.txt） |
[users] foxgem1=foxgem1 |
对于这种方式，无法定义对于代码库下具体目录的权限。如果有这个需要，那么可以采用与Apache2集成的方式解决。
- 对于与Apache2集成的服务器，修改httpd.conf，主要步骤：（需要在Apache2中配置mod_authz_svn，建议先安装Apache2，再安装Subversion。此处主要是利用Apache2对于目录的访问控制，可以从Apache2的手册中获得更多的信息。）
1) 使用htpasswd建立userlist。如果文件不存在，那么使用htpasswd -cm；文件存在，则使用htpasswd -m。其中c代表create；m代表使用MD5加密口令。如：
$ ### First time: use -c to create the file
$ ### Use -m to use MD5 encryption of the password, which is more secure
$ htpasswd -cm /etc/svn-auth-file harry
New password: *****
Re-type new password: *****
Adding password for user harry
$ htpasswd /etc/svn-auth-file -m sally
New password: *******
Re-type new password: *******
Adding password for user sally
2) 在httpd.conf中的<location>，2种使用方式：
Ø 只允许指定用户
<Location /svn>
DAV svn
SVNParentPath /usr/local/svn
AuthType Basic
AuthName "Subversion repository"
AuthUserFile /etc/svn-auth-file
Require valid-user
</Location>
Ø 对于指定操作之外的用户，应用权限认证
<Location /svn>
DAV svn
SVNParentPath /usr/local/svn
AuthType Basic
AuthName "Subversion repository"
AuthUserFile /path/to/users/file
# 对于get操作之外，需要验证。
<LimitExcept GET PROPFIND OPTIONS REPORT>
Require valid-user
</LimitExcept>
</Location>
3) 以上2步建立了和svnserve -d相同的访问控制。如果要应用目录控制，那么：
a) 建立目录访问策略文件，文件格式与svnserve.conf的语法类似。对于每个要控制的路径：
[repos-name:path]或[path]
username= （r,rw）
如果没有提及用户，那么就没权限；如果指明用户，但是等号右边什么也不写，即是显式的拒绝。如果左边使用*，则表示所有的用户。对于使用了SVNParentPath，需要指明repos-name。否则，可以省略。在文件中还可以使用[groups]建立组，例子：
[groups]
calc-developers = harry, sally, joe
paint-developers = frank, sally, jane
everyone = harry, sally, joe, frank, sally, jane
[calc:/projects/calc]
###使用时注意，组名前有@。
@calc-developers = rw
[paint:/projects/paint]
@paint-developers = rw
jane = r
b) 在<location>中使用AuthzSVNAccessFile，典型的3种配置方式：
方式一：允许匿名存取
<Location /repos>
DAV svn
SVNParentPath /usr/local/svn
AuthzSVNAccessFile /path/to/access/file
</Location>
方式二：不允许匿名存储
<Location /repos>
DAV svn
SVNParentPath /usr/local/svn
AuthzSVNAccessFile /path/to/access/file
# 只有认证用户可以存取
Require valid-user
# 认证方式
AuthType Basic
AuthName "Subversion repository"
AuthUserFile /path/to/users/file
</Location>
方式三：方式1和2的混合模式
<Location /repos>
DAV svn
SVNParentPath /usr/local/svn
AuthzSVNAccessFile /path/to/access/file
# 先尝试匿名，如果不行再尝试认证用户
Satisfy Any
Require valid-user
# 认证方式
AuthType Basic
AuthName "Subversion repository"
AuthUserFile /path/to/users/file
</Location>
例子：
| httpd.conf
|
<Location /repo> DAV svn svnpath D:/studycases/subversion/repository AuthzSVNAccessFile D:/studycases/subversion/pathright.txt Satisfy Any Require valid-user AuthType Basic AuthName "Subversion repository" AuthUserFile D:/studycases/subversion/svnuser.txt </Location> |
| 用户密码列表文件名 （svnuser.txt） |
foxgem:$apr1$kY/…..$rXDeLPlm9b0uacF7zM.dl. （注意这是使用htpasswd产生的）
|
| 目录访问策略文件 （pathright.txt）
|
[/project] foxgem= r [/test] foxgem=rw |