为什么mod_jk绕过Apache授权？

Question

由于许多JkMounts（jk-status除外）绕过了从Apache 2.2授权的切换。如果我取消浏览器密码弹出，我会得到一个401页。正如我所料，它不是来自Apache的，而是来自JBoss，它不应该被允许与之交谈。 （我发现这是因为未经授权的用户正在与JBoss交谈。）

在接收端，我们有JBoss 4和Wildfly 7.这两个都是＆＃34; Apache / 2.4.3（Unix）mod_jk / 1.2.37＆＃34;和＃34; Apache / 2.4.10（Unix）mod_jk / 1.2.40＆＃34;。配置总是像

<Location /XYZ/*>
    JkMount XYZ
    AuthType basic
    AuthUserFile conf/passwd/XYZ
    AuthName "XYZ security"
    Require valid-user
</Location>

我甚至有一个案例，相同的设置（工作人员定义，<Location>，文件权限和内容）适用于2.4.3但不适用于2.4.10。对于其他JkMounts，两个版本都表现错误。如果我提高调试级别，我就不会看到它如何解析它。当我调用URL时，它表示没有指令保护它。

Answer 1

事实证明，JkMount的嵌套1-arg语法非常无用，因为它需要尾随通配符，而Location并不理解它。有用的是拉出来：

JkMount /XYZ/* XYZ
<Location /XYZ>