XAMPP默认仅允许本地访问，需通过Apache 2.4+的Require指令精准控制访问权限；须修改httpd-xampp.conf中各路径的Require local为指定IP或子网，并同步检查虚拟主机和.htaccess配置，重启Apache生效。
XAMPP默认只允许本地访问（127.0.0.1 和 ::1），想让局域网或外网设备访问，必须手动改权限；但直接写 Require all granted 会彻底放开，有风险。关键不是“开”或“关”，而是精准控制谁可访问。
Apache 2.4+ 中 Require 指令的权限逻辑容易搞反
旧版 Apache 用 Order Deny,Allow，新版统一用 Require。很多人把 Require local 改成 Require all granted 后能连上，但没意识到这等于对整个互联网开放——只要防火墙放行，谁都可能打进来。
-
Require local：仅限本机（127.0.0.1 + ::1） -
Require ip 192.168.1.0/24：只允许该子网（如局域网所有设备） -
Require ip 192.168.1.100：只允许单个 IP -
Require all denied：显式拒绝全部（慎用，易锁死自己）
注意：Require 是“白名单优先”，多个规则按顺序匹配，第一个命中即生效，后面不执行。
修改 httpd-xampp.conf 解除 XAMPP 自带的安全拦截
XAMPP 在 xampp\apache\conf\extra\httpd-xampp.conf 里预置了多处 Require local，专门封掉 /phpmyadmin、/security、/xampp 等路径。即使你改了主配置，这些路径仍返回 403。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 打开
httpd-xampp.conf，搜索Require local - 找到类似这段：
<LocationMatch "^/(?i:(?:xampp|security|licenses|phpmyadmin|webalizer|server-status|server-info))"> Require local ErrorDocument 403 /error/XAMPP_FORBIDDEN.html.var </LocationMatch> - 不要删掉整段，只需注释掉
Require local行：# Require local - 若只想放开某几个路径（比如只给开发同事访问 phpMyAdmin），可改成：
Require ip 192.168.1.100 192.168.1.101 - 改完必须重启 Apache，否则不生效
虚拟主机中 <Directory> 块的权限需单独设置
如果你用了 httpd-vhosts.conf 配置了 <VirtualHost>，那每个站点的 <Directory> 块里的权限是独立的——主配置改了，虚拟主机仍可能拦你。
- 在
httpd-vhosts.conf中定位到目标<VirtualHost *:80>区块 - 找到其内部的
<Directory "C:/xampp/htdocs/myproject"> - 确认里面包含且仅包含你需要的
Require规则，例如：Require ip 192.168.1.0/24 - 务必检查
AllowOverride All是否启用，否则.htaccess里的 IP 限制不会生效 - 避免混用旧语法（如
Order/Allow），Apache 2.4+ 会忽略它们
用 .htaccess 实现细粒度 IP 控制（无需改主配置）
适合不想动服务器配置、或托管在共享环境（如某些 VPS）时使用。注意：.htaccess 只在 AllowOverride All 开启时才起作用。
- 在网站根目录新建或编辑
.htaccess - 禁止某个 IP：
Deny from 203.123.45.67 - 只允许某 IP 访问：
Order Deny,Allow+Deny from all+Allow from 192.168.1.100 - 注意：这种写法属于 Apache 2.2 语法，在 2.4+ 中虽向后兼容，但推荐统一用
Require：Require not ip 203.123.45.67 -
.htaccess的规则优先级高于主配置中的同级Require，调试时容易冲突，建议只在一个地方管理 IP 策略
真正麻烦的从来不是“怎么放开”，而是“放开之后怎么收住”。XAMPP 的安全机制是分层的：监听地址、主目录权限、XAMPP 特殊路径拦截、虚拟主机权限、.htaccess —— 少改一层，就可能被某处 silently 拦截。别跳过任何一层检查。
