LimitRequestFields和LimitRequestFieldSize仅限制请求头数量与单头长度，不识别请求方法、频率或请求体，故无法防御POST洪水或CC攻击；真正有效的是启用mod_evasive并结合SetEnvIf做方法+路径级限流。
phpEnv 本身不提供独立的请求头限制开关，所有相关配置都落在 Apache 的 LimitRequestFields 和 LimitRequestFieldSize 指令上——但这两个指令对防攻击几乎无效，真要防攻击得换思路。
为什么 LimitRequestFields 不能防 POST 洪水或 CC 攻击
这两个指令只管「HTTP 请求头里有多少个字段」和「单个字段最大多长」，比如限制最多 100 个头、每个头最长 8KB。它们完全不检查请求方法、URI、IP 频率或请求体大小。恶意脚本发 1000 个合法的 GET / 请求，每个带 5 个标准头，LimitRequestFields 一概放行。
常见误用场景：
- 在
.htaccess里写LimitRequestFields 20—— 无效，该指令不支持在 .htaccess 中使用 - 以为设了
LimitRequestFieldSize 4096就能拦住大包 POST —— 错，它只限制User-Agent这类头的长度，不管body - 配合 PHP 的
max_input_vars一起调小，结果表单字段多一点就 500 —— 这是应用层问题，不是攻击防护
真正有效的 phpEnv 防攻击配置路径
phpEnv 底层是 Apache，所以必须启用并正确配置 mod_evasive。它才是针对高频请求（尤其是 POST/PUT）做 IP + URI + 方法级拦截的模块。
立即学习“PHP免费学习笔记（深入）”；
操作要点：
- 确认
mod_evasive.so已加载：打开Apache/conf/httpd.conf，搜索mod_evasive，确保该行未被注释 - 在
httpd.conf末尾或单独的mod_evasive.conf中加入：<IfModule mod_evasive24.c> DOSPageCount 5 DOSPageInterval 1 DOSSiteCount 50 DOSSiteInterval 1 DOSBlockingPeriod 600 DOSLogDir "D:/phpEnv/Apache/logs/mod_evasive" </IfModule>
- 重启 Apache（通过 phpEnv 托盘图标），观察日志目录是否生成文件；若无日志，检查路径是否存在、是否有写入权限
- 测试时用
curl -X POST循环发请求，别用浏览器——浏览器自带限速和缓存，测不准
只对特定接口限流：POST /api/login 怎么单独控
默认 mod_evasive 对所有请求一视同仁。要精准卡住登录接口，必须结合 SetEnvIf 标记 + 环境变量触发。
在 httpd.conf 的对应 <virtualhost></virtualhost> 或站点目录块内添加：
SetEnvIf Request_Method "^POST$" is_post<br>SetEnvIf Request_URI "^/api/login" is_login_api<br><IfModule mod_setenvif.c><br> SetEnvIf is_post 1 is_post_login<br></IfModule><br><br><IfModule mod_evasive24.c><br> <If "-T reqenv('is_post_login') == '1'"><br> DOSPageCount 3<br> DOSPageInterval 5<br> </If><br></IfModule>
注意：
-
SetEnvIf必须放在mod_evasive配置之前，否则环境变量来不及生效 - Apache 2.4.53+ 才支持
-T reqenv()语法，旧版 phpEnv 自带的 Apache 若低于此版本，得降级用<location></location>+SetEnv组合 - 触发后返回的是 403，不是 429；如需返回 429，得用
DOSSystemCommand配合自定义脚本，复杂度陡增
容易被忽略的底层冲突点
phpEnv 是 Windows 环境，很多 Linux 向导里的配置会失效：
-
DOSSystemCommand默认调iptables，Windows 没这命令，留空或删掉，否则 Apache 启动失败 - 日志路径不能用
/var/log/...，得改成D:/phpEnv/Apache/logs/...，且目录必须手动创建 - 如果用了 phpEnv 内置的「伪静态」功能（即重写规则把所有请求转给
index.php），mod_evasive仍能工作，但它统计的是重写后的 URI，不是原始 URL - 某些 phpEnv 版本默认禁用
mod_headers，而mod_evasive依赖它做环境变量判断，记得一并启用：LoadModule headers_module modules/mod_headers.so
