如何阻止匿名用户读取CouchDB？仅允许管理员访问的配置求助

没问题，我帮你搞定这个CouchDB匿名访问的问题！你已经做了核心配置，但可能有些细节没注意到，导致匿名用户还能访问。下面一步步来解决：

1. 确认核心配置的正确性 #

首先要确保require_valid_user = true是放在[httpd]区块下的，这是强制所有请求必须经过身份验证的关键配置。打开你的local.ini，检查[httpd]部分是否如下：

[httpd]
require_valid_user = true
WWW-Authenticate = Basic realm="administrator"

这个配置会直接拒绝所有未认证的请求（包括GET/HEAD），不管是访问_all_dbs还是其他数据库资源。

2. 检查是否有冲突配置 #

有时候其他配置会覆盖这个规则，比如：

• 检查[couchdb]区块下是否有allow_anonymous = true（虽然新版本默认是false，但还是确认下）
• 确保没有在某个数据库的_security文档中给匿名用户（""）分配了reader角色

3. 重启CouchDB服务使配置生效 #

修改local.ini后，必须重启CouchDB才能让配置生效。根据你的操作系统执行对应的命令：

# Systemd系统（如Ubuntu 16.04+、CentOS 7+）
sudo systemctl restart couchdb

# Init.d系统（如旧版Ubuntu、CentOS 6）
sudo /etc/init.d/couchdb restart

4. 验证配置效果 #

现在测试两种访问场景：

• 管理员访问：用管理员账号认证，应该能正常获取资源：

  curl -u 你的管理员账号:密码 http://你的CouchDB地址:5984/_all_dbs
  

  正常情况下会返回数据库列表。

• 匿名访问：不带认证信息访问，应该返回401 Unauthorized：

  curl http://你的CouchDB地址:5984/_all_dbs
  

  如果返回401，说明配置生效了，匿名用户已经被阻止。

5. 额外的安全加固（可选） #

如果后续需要更精细的权限控制（比如允许特定非管理员用户访问某些数据库，但_all_dbs仅对管理员开放），可以：

• 保持require_valid_user = true，然后给特定用户分配对应数据库的reader/writer角色
• 开启[httpd]下的secure_rewrites = true，防止恶意rewrite绕过权限

这样设置后，就只有经过认证的管理员能执行所有操作，匿名用户完全无法访问任何资源，符合你的需求。

内容的提问来源于stack exchange，提问作者Jinmin