URL 正規化が有効になった lighttpd 1.4.54 http サーバーのリリース

公開済み 軽量 http サーバーのリリース ライトTPD 1.4.54。 新しいバージョンには 149 件の変更が含まれており、特に注目すべき点は、デフォルトでの URL 正規化、mod_webdav のやり直し、およびパフォーマンスの最適化作業です。

lighttpd 1.4.54以降 かわった HTTP リクエストを処理するときの URL 正規化に関連するサーバーの動作。 Host ヘッダーの値を厳密にチェックするオプションが有効になり、ヘッダーで送信されるリンクの正規化と、エスケープされていない制御文字を含むリンクのブロックも有効になります。 正規化プロセスには、「\」から「/」、「%2F」から「/」、「%20」から「+」への自動変換、「.」ディレクトリを含むファイル パスの一部の解決と削除が含まれます。 および「..」。エスケープ文字「-」、「.」、「_」、および「~」をデコードします。

必要に応じて、オプション「header-strict」、「host-strict」、「host-normalize」、「url-normalize」、「url-normalize-unreserved」、「url」を使用して、設定で URL 処理動作を変更できます。 -正規化-必須” ",
「url-ctrls-reject」、「url-path-2f-decode」、「url-path-dotseg-remove」、「url-query-20-plus」は「enable」に設定されています。

その他の変更には、mod_webdav モジュールの完全な再加工が含まれており、これにより仕様との完全な互換性を実現し、パフォーマンスと信頼性を向上させることが可能になりました。 mod_webdav に対する互換性を破壊する変更の中には、不完全な PUT リクエストのブロックがあります。 Mod_auth は、認証パラメーター (HTTP 認証ダイジェスト) をハッシュするための SHA-256 アルゴリズムのサポートを追加します。
新しいモジュール mod_maxminddb が、mod_geoip に代わるものとして提案されています (mod_geoip は現在非推奨です)。

出所： オープンネット.ru