Apache禁止目录列表须在<Directory>块中设Options -Indexes，避免用Options None；需检查所有配置文件中的<Directory>块、确保AllowOverride设置正确，并重启服务验证403响应。
Apache 目录禁止列表（Indexes）必须关掉 Options Indexes
直接访问一个空的目录（比如 /uploads/）却没配默认首页时，Apache 默认会列出所有文件，这就是 Indexes 的行为。这属于高危暴露，尤其对上传目录、配置目录、日志目录等。
关掉它最稳妥的方式是在对应 <Directory> 块中显式禁用：
Options -Indexes
注意不是 Options None —— 后者会同时禁掉 FollowSymLinks 等必要选项，可能导致重写或符号链接失效。常见错误是只改了主配置里的 <Directory />，却忘了虚拟主机或子目录里可能覆盖了这个设置。
- 检查
httpd.conf或extra/httpd-vhosts.conf中所有<Directory>块是否都含Options -Indexes - 若用了
.htaccess，确保上级<Directory>允许覆盖：AllowOverride All或至少AllowOverride Options - 重启 Apache 后用浏览器直接请求一个无
index.*的子目录，确认返回 403 而非文件列表
.htaccess 禁止整个目录访问要写对语法
在 phpEnv 这类集成环境里，.htaccess 是最常用的分布式权限控制方式，但 Apache 2.4 和旧版语法不兼容，容易踩坑。
立即学习“PHP免费学习笔记（深入）”；
Apache 2.4+ 必须用 Require 指令，Order/Deny 已废弃，写了会报 500 错误：
# 正确（Apache 2.4+） Require all denied
而不是：
# 错误（Apache 2.2 风格，phpEnv 若用 Apache 2.4 就会炸） Order Deny,Allow Deny from All
- 确认 phpEnv 使用的 Apache 版本：运行
httpd -v查看 -
.htaccess文件必须放在目标目录下，且文件名严格为.htaccess（Windows 下需用编辑器另存，不能靠重命名） - 若启用失败，检查 Apache 是否加载了
mod_access_compat（不推荐依赖它来兼容旧语法）
上传目录（如 uploads/）必须隔离 + 代理访问
仅靠 Require all denied 还不够——用户仍可能通过其他路径（如符号链接、重写规则）绕过。真正安全的做法是物理隔离 + PHP 代理。
典型结构：
/www/ ├── public/ │ ├── index.php │ └── assets/ └── uploads/ ← 不在 public 下，外部无法直连
然后在 public/ 下放一个 download.php，由它校验登录态、文件白名单、MIME 类型后，再用 readfile() 输出：
<?php
if (!is_user_logged_in()) die('403');
$file = $_GET['f'] ?? '';
$allowed = ['report.pdf', 'avatar.jpg'];
if (!in_array($file, $allowed)) die('403');
header('Content-Type: application/octet-stream');
readfile('../uploads/' . $file);
?>- 绝对不要把
uploads/放进DocumentRoot；否则任何配置疏漏都会导致文件被直接下载 - PHP 代理脚本里避免用
$_GET拼接路径，防止路径遍历（../../../etc/passwd） - Apache 配置中对
uploads/所在父目录也加一层<Directory>限制，双重保险
phpEnv 中修改权限后不生效？先查这三件事
phpEnv 是封装环境，配置常被多层覆盖，改了不生效很常见。
- 确认你改的是正在使用的配置文件：phpEnv 的 Apache 配置通常在
phpenv\apache\conf\或phpenv\bin\apache\conf\，不是系统全局的/etc/apache2/ - 检查是否启用了
.htaccess：对应目录的<Directory>块里必须有AllowOverride All，否则.htaccess完全被忽略 - 改完必须重启 Apache 服务（不是重载）：phpEnv 界面点「重启 Apache」或命令行执行
httpd -k restart，只 reload 可能不读新配置
最易被忽略的是：phpEnv 自带的「快速启动」模式有时会跳过某些配置加载逻辑，建议关闭该模式后纯手动启停验证。
