mod_selinuxのアーキテクチャを考える(前編) - KaiGaiの俺メモ

mod_selinuxはapache/httpdのプラグインで、利用者のHTTP要求の認証(BASICとかDIGESTとか)結果に基づいて、PHPスクリプトや静的コンテンツを参照するContents Handlerの実行権限を切り替える。 やっている事は単純で、ap_hook_handlerの先頭で mod_selinux が処理を乗っ取り、一時的にワーカースレッドを作成して権限を縮退させる。で、以降のContents Handlerの実行はワーカースレッドに託されるという形になる。 だが、このデザインだと問題になる事が２点。 ap_invoke_handler()が再入可能ではない Bounds domainの範囲でしかドメイン遷移ができない 前者の問題について。CGIが自サーバ内のURLを含むLocation: ヘッダを返した場合など、internal redirectionという処理

[matsumoto_r]

「internal redirectionという処理が走り、cgi_handlerのコンテキストでap_invoke_handler()が再び呼ばれる事がある。」これは確かに悩ましい。mod_process_securityでも対策しなくちゃ。