Apache 2.4 必须用 Require 指令替代已废弃的 Order/Allow/Deny，否则报 500 错误；需在 <VirtualHost> 或 <Directory> 中显式设置默认策略（如 Require all denied），再叠加 Require not ip 等规则，并通过 apachectl configtest 验证语法。
Apache 2.4 中必须用 Require，旧版 Order/Allow/Deny 会直接报 500 错误
你在 XAMPP（Apache 2.4+）里照着老教程写 Order deny,allow 或 Deny from 192.168.1.100，Apache 启动失败或返回 500，不是配置漏了，是语法彻底废弃了。Apache 2.4 把授权逻辑全换成了 Require 引擎，不兼容旧指令。
正确做法是：把规则放进 <VirtualHost> 或 <Directory> 块里，并显式声明默认策略：
-
Require all denied表示默认拒绝一切 -
Require all granted表示默认放行一切 - 再叠加
Require not ip 193.37.XXX.XX这类具体规则
漏掉默认策略（比如只写 Require not ip ...），Apache 会静默忽略所有 Require 指令，导致整个目录变成 403 或 500。
禁止单个 IP 或 IP 段：写在 httpd-vhosts.conf 的 <VirtualHost> 块内最稳妥
不要用 .htaccess —— XAMPP 默认禁用 AllowOverride AuthConfig，且它性能差、易被绕过；也不要改全局 httpd.conf，容易误杀其他虚拟主机。
打开 XAMPP\apache\conf\extra\httpd-vhosts.conf，找到你正在用的 <VirtualHost *:80> 块，在 <Directory "...> 或直接在 <VirtualHost> 内添加：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
<RequireAll>
Require all granted
Require not ip 193.37.XXX.XX
Require not ip 203.0.113.0/24
</RequireAll>
注意点：
-
Require not ip是“黑名单”写法，Require ip是白名单 - IPv6 要带前缀长度，如
Require not ip 2001:db8::/32，写成2001:db8::不生效 - 多个 IP 段不能写在同一行，每行一个
Require not ip - 如果同时要限制 IP 又做反向代理（比如 ProxyPass），确保规则放在
<Proxy>块外，否则不作用于后端请求
测试是否生效：别只靠浏览器刷新，用 curl --interface 模拟源 IP
浏览器访问看不出效果，因为你的本机 IP 很可能不在黑名单里。真正验证得模拟被封 IP 的请求：
- Windows 上开 PowerShell，执行：
curl -v --interface 193.37.XXX.XX http://localhost - Linux/macOS 执行：
curl -v --interface 193.37.XXX.XX http://your-domain.local
如果返回 403 且 error_log 里有 client denied by server configuration，说明规则已加载；但若没日志或返回 200，大概率是：
- 没运行
apachectl configtest就重启，配置实际未生效 - 真实客户端 IP 被代理/Nginx/CDN 遮盖，
%a记录的是代理 IP，不是访客真实 IP - 规则写在了错误位置（比如写在
<Location /proxy>里，但你封的是根路径）
重启前必做：apachectl configtest 和 LogLevel authz_core:debug
Apache 对授权配置极其严格，错一个字母就拒之门外，而且默认错误日志不告诉你哪条规则触发了拒绝。所以每次改完必须：
- 进
XAMPP\apache\bin目录，运行：apachectl configtest，确认输出Syntax OK - 临时加调试日志：在
httpd.conf里加一行：LogLevel authz_core:debug，重启后看apache\logs\error.log里每条请求的匹配过程 - 改完记得删掉
LogLevel行，否则日志爆炸、磁盘撑爆
最容易被跳过的其实是 configtest —— 很多人双击 XAMPP 控制面板里的 Restart，以为重启就等于重载配置，其实 Apache 可能根本没读新配置，还在跑旧规则。
