XAMPP默认不防DDoS，因其作为开发环境未预装启用mod_evasive等防护模块，httpd.conf中既无LoadModule指令也无相关配置，且仅基础安全检查不覆盖流量层攻击。
XAMPP默认不带防DDoS能力，必须手动启用mod_evasive并调参，否则面对HTTP Flood类攻击几乎无抵抗能力。
为什么XAMPP不能直接防DDoS
XAMPP是开发环境，默认关闭所有防护模块，mod_evasive和mod_ratelimit都未加载；它的httpd.conf里连LoadModule evasive20_module这行都没有。你访问http://localhost/security/看到的“安全检查”只管密码、目录暴露等基础项，对流量层攻击完全不检测。
- Windows版XAMPP（如8.2.12）默认不安装
libapache2-mod-evasive——那是Debian系Apache的包名，Windows下得自己编译或找预编译DLL - 即使你复制了
mod_evasive24.so到\xampp\apache\modules\，没在httpd.conf里LoadModule，模块根本不会启动 -
mod_evasive只对Apache进程内请求生效，无法拦截SYN Flood或UDP反射类攻击，这类得靠系统防火墙或CDN
手动启用mod_evasive的三步实操
Windows下最稳妥方式是用官方兼容的DLL（如ApacheLounge提供的mod_evasive24.so），别试图自己编译：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 下载对应Apache版本的
mod_evasive24.so，放进\xampp\apache\modules\ - 编辑
\xampp\apache\conf\httpd.conf，在LoadModule区块末尾加一行：LoadModule evasive20_module modules/mod_evasive24.so - 在
httpd.conf末尾追加配置（注意IfModule必须闭合）：<IfModule mod_evasive20.c> DOSHashTableSize 3097 DOSPageCount 2 DOSSiteCount 50 DOSPageInterval 1 DOSSiteInterval 1 DOSBlockingPeriod 10 </IfModule>
其中DOSPageCount 2表示同一页面1秒内超2次就拉黑，对登录页暴力爆破很有效
比mod_evasive更关键的三项隐藏加固
很多用户只盯着“防攻击”，却忽略XAMPP自带的三个高危默认配置，它们比DDoS更容易被利用：
- 禁用
mod_status和mod_info：打开httpd.conf，把LoadModule status_module和LoadModule info_module两行前面加#注释掉，否则攻击者能直接看到Apache线程状态、模块列表甚至配置路径 - 强制隐藏版本号：确认
\xampp\apache\conf\extra\httpd-default.conf中ServerTokens设为Prod、ServerSignature设为Off，否则错误页会暴露Apache/2.4.58 (Win64) OpenSSL/3.1.4 PHP/8.2.12这种完整指纹 - 删掉
httpd-xampp.conf里的危险别名：打开\xampp\apache\conf\extra\httpd-xampp.conf，删除或注释掉Alias /phpmyadmin、Alias /security等整段，只留Alias /dashboard且限制Require local
mod_evasive参数调优的坑点
直接抄网上的默认值容易翻车，尤其在本地开发场景：
-
DOSPageInterval 1和DOSSiteInterval 1在Chrome/Firefox多标签页下极易误封——建议调成2或3，给浏览器预加载留余量 -
DOSBlockingPeriod 10太短，攻击IP解封后立刻重试；但设成300（5分钟）又可能卡住自己调试——可配合日志临时观察：tail -f \xampp\apache\logs\error.log | findstr "Blacklisted" - Windows下
mod_evasive的DOSHashTableSize不宜过大（如10000），否则Apache启动时可能报Cannot allocate memory for hash table，3097是经过验证的安全值
真正难处理的是混合攻击：比如同时有慢速HTTP连接（mod_reqtimeout要配）+ 静态资源刷取（得靠mod_expires缓存）+ PHP脚本高频执行（需php.ini里限max_execution_time）。单靠一个mod_evasive模块，解决不了这些组合拳。
