Tenho uma aplicação desenvolvida em CakePHP 2, mas acredito que a questão não tenha tanto envolvimento com o framework em si, apenas citando para contextualizar.
Sendo esta aplicação privada, basicamente um webservice para acesso aos dados com um aplicativo móvel, eu restringi o acesso utilizando autenticação basic HTTP do próprio Apache no arquivo .htaccess
.
Existe o caminho físico para files/photos
que eu quero acesso livre, então incluí esta exceção ficando assim:
AuthType Basic
AuthName "Meu webservice"
AuthUserFile /foo/bar/.htpasswd
Require valid-user
SetEnvIf Request_URI "files/photos/" allow
Order allow,deny
Allow from env=allow
Satisfy any
Funciona perfeitamente, restringindo todo o acesso ao webservice com exceção do diretório indicado. Agora eu preciso restringir um novo acesso mas desta vez não é uma URL apontando para um caminho físico e sim "virtual", já que o framework (MVC-like) utiliza o mod_rewrite
para fazer a reescrita das URLs.
Apenas adicionando a linha abaixo não obtive sucesso, ainda é solicitado usuário e senha.
SetEnvIf Request_URI "users/confirmation/" allow
Não sei se o problema passa pelo fato da utilização da reescrita de URLs, mas considerando que um caminho físico eu obtive sucesso e o outro não, imagino que faça algum sentido minha dúvida.