Options指令决定目录能否列文件、执行脚本、使用符号链接及影响.htaccess生效；FollowSymLinks无条件跟随链接，SymLinksIfOwnerMatch仅当链接与目标所有者UID一致时才跟随，后者更安全但性能略低。
Options 指令不是“开个开关”就完事的，它直接决定目录能否列文件、跑脚本、用符号链接，甚至影响 .htaccess 是否生效。配置错一个字母，403 Forbidden 或 500 Internal Server Error 就可能悄无声息地出现。
Options FollowSymLinks 和 SymLinksIfOwnerMatch 的区别在哪
两者都涉及符号链接（symlink），但权限模型完全不同：
-
FollowSymLinks：只要 Apache 进程有读取目标路径的权限，就无条件跟随链接——风险高，容易越权访问系统其他目录 -
SymLinksIfOwnerMatch：只在符号链接文件的所有者 UID 与目标文件/目录所有者 UID 完全一致时才跟随——更安全，但性能略低（每次访问都要做 stat 检查） - 如果配置在
<location></location>块中，这两个选项都会被忽略，Apache 直接不处理 - 生产环境建议优先用
SymLinksIfOwnerMatch，尤其当 DocumentRoot 下存在用户可上传或创建 symlink 的场景
为什么加了 Options Indexes 还看不到目录列表
常见原因不是 Indexes 没写，而是被其他配置覆盖或拦截：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
DirectoryIndex已命中（比如目录下有index.html），根本不会触发列表逻辑 - 父级
<directory></directory>块用了Options None或没带+/-，子级的Indexes被完全屏蔽 - Apache 2.4+ 中，即使开了
Indexes，也必须配Require all granted，否则权限拒绝优先于索引行为 - SELinux 启用时，
httpd_can_network_connect或httpd_read_user_content可能阻止目录遍历，需检查ausearch -m avc -ts recent
Options +ExecCGI 不等于能跑 PHP 或 Python 脚本
ExecCGI 只是“允许执行 CGI”，和语言无关，真正起作用的是模块加载与文件绑定：
- 必须已启用
mod_cgi（不是mod_php或mod_wsgi），且AddHandler cgi-script .pl .py .cgi明确注册后缀 - 脚本文件需有可执行权限（
chmod +x script.py），且首行指定解释器（如#!/usr/bin/env python3） - 若用
ScriptAlias映射到/cgi-bin/，则该目录下脚本默认可执行，无需额外Options ExecCGI -
Options +Includes配合mod_include才支持#include virtual，但#exec cmd默认被禁——这是安全默认值，别指望它能绕过 shell 限制
AllowOverride 和 Options 的组合陷阱
这两个指令常一起出现，但作用域和生效时机完全不同：
-
AllowOverride None：完全跳过.htaccess文件解析，哪怕文件存在也不读——性能好，但所有目录级控制只能靠主配置 -
AllowOverride All：允许.htaccess使用全部指令，包括Options——但注意：.htaccess里的Options只能 *缩小* 主配置已允许的范围（比如主配置是Indexes FollowSymLinks，.htaccess 里写Options -Indexes有效；但写Options +ExecCGI无效） - 最易踩坑的是混用
AllowOverride AuthConfig和Options Includes：前者允许改认证，后者允许 SSI，但若没开IncludesNOEXEC，攻击者可能通过#include exec注入命令 - 根目录设
AllowOverride None是通用安全实践，除非你明确需要动态覆盖（如共享主机多租户场景）
Options 的实际效果永远取决于它所在的上下文层级、Apache 版本（2.2 vs 2.4 权限模型差异极大）、以及是否与其他模块（如 mod_security、mod_rewrite）产生隐式冲突。调试时优先看 error_log 里的具体拒绝原因，而不是凭直觉改配置。
