Comment empêcher Apache de servir le répertoire .git ?

Pour protéger à la fois le répertoire .git et d'autres fichiers tels que .gitignore et .gitmodules en utilisant .htaccess, utilisez :

RewriteEngine On
RewriteRule ^(.*/)?\.git+ - [F,L]
ErrorDocument 403 "Access Forbidden"

J'ajoute toujours la ligne suivante dans le modèle de serveur virtuel (vhost)

RedirectMatch 404 /\\.(svn|git|hg|bzr|cvs)(/|$)

Juste pour être sûr que personne ne peut accéder aux données spécifiques de VCS. Cela fonctionne parfaitement.

En supposant que votre serveur Web utilise un utilisateur différent de celui que vous utilisez pour accéder au dépôt .git, vous pourriez désactiver le bit d'exécution pour les autres sur le répertoire .git.

Cette méthode devrait fonctionner avec d'autres serveurs Web et ne repose pas sur des fichiers .htaccess qui consomment beaucoup d'énergie.

Pour ceux qui cherchent à refuser simplement tous les fichiers et répertoires "cachés" sur une distribution Linux (généralement tous les fichiers commençant par un "."), voici ce qui fonctionne sur Apache 2.4 lorsqu'il est placé dans le contexte de la configuration du serveur :

<FilesMatch "^\.(.*)$">
    Require all denied
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    Require all denied
</DirectoryMatch>

Et voici l'ancien style Apache 2.2 (même regex, juste des directives d'authentification différentes) :

<FilesMatch "^\.(.*)$">
    Order deny,allow
    Deny from all
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    Order deny,allow
    Deny from all
</DirectoryMatch>

Alors vous n'avez pas à vous soucier .git o .svn spécifiquement. Cela correspondrait également à des choses comme .htaccess y .htpasswd par nature.

Personnellement, je préfère émettre des 403 pour de telles demandes plutôt que des 404, mais vous pourriez facilement utiliser une RewriteRule au lieu d'un refus d'authentification, comme ceci :

<FilesMatch "^\.(.*)$">
    RewriteRule "^(.*)$" - [R=404,L]
</FilesMatch>
<DirectoryMatch "/\.(.*)">
    RewriteRule "^(.*)$" - [R=404,L]
</DirectoryMatch>

C'est un peu tard, mais ma réponse est légèrement différente, alors j'ai pensé l'ajouter. Ceci doit être placé dans le fichier httpd.conf. L'adresse <Files "*"> imbriqué dans le <Directory> bloquera tous les fichiers du répertoire.

# GitHub Directory
<Directory /var/www/html/yoursite/.git>
   Order Deny,Allow
   Deny from all
   <Files "*">
     Order Deny,Allow
     Deny from all
   </Files>
</Directory>
# GitHub files
<Files .gitignore>
  order Deny,Allow
  Deny from all
</Files>