要用limit_except实现差异化权限控制，核心是「按方法分组+按条件放行」，Apache需嵌套RequireAll/RequireAny，Nginx可直接在limit_except内用allow/deny；HEAD自动包含于Nginx但Apache需显式列出，OPTIONS必须显式放行以支持CORS预检。
要用 limit_except 实现差异化权限控制，核心是「按方法分组 + 按条件放行」，不能只靠罗列方法，必须结合访问控制指令（如 allow/deny 或 Require）做精细化判断。不同服务器环境语法和逻辑有明显差异，需严格区分 Apache 和 Nginx。
Apache：用 <limitexcept></limitexcept> + Require 组合实现角色/来源隔离
Apache 的 LimitExcept 本身不支持条件分支，必须嵌套 <requireall></requireall> 或 <requireany></requireany> 才能叠加 IP、认证等规则。
-
只允许内网 POST，所有人 GET/HEAD：
在<directory></directory>块中写：<LimitExcept GET HEAD><br> <RequireAll><br> Require ip 10.0.0.0/8<br> Require valid-user<br> </RequireAll><br></LimitExcept>
-
禁止未认证用户使用 DELETE：
把Require valid-user放在LimitExcept外层目录配置中，再在LimitExcept DELETE内用Require ip 127.0.0.1单独放行本地调试请求。 -
注意叠加效应：若外层
<directory></directory>已设Require all denied，又在LimitExcept里写Require ip 192.168.1.0/24，结果仍是全拒——权限必须统一收口到LimitExcept块内部。
Nginx：用 limit_except + allow/deny 控制方法级网络策略
Nginx 的 limit_except 直接支持在块内写 allow 和 deny，逻辑更直观，且自动包含 HEAD（无需显式列出）。
-
仅允许指定网段调用 PUT/DELETE：
location /api/v1/data {<br> limit_except GET POST {<br> allow 172.16.0.0/12;<br> deny all;<br> }<br>}此时 GET/POST 对所有客户端开放，PUT/DELETE 只响应来自内网的请求。 -
跨域写操作必须放行 OPTIONS：
前端发 PUT 请求前会先发 OPTIONS 预检，若没加进limit_except列表，预检失败导致主请求被拦截。应写成：limit_except GET POST OPTIONS { deny all; } -
避免用 if 判断方法：
if ($request_method != 'GET') { deny all; }行为不可靠，尤其在重写或代理场景下易出错；limit_except是专为此设计的原生命令，无副作用。
关键共性细节：哪些方法必须显式处理？
无论 Apache 还是 Nginx，以下三点通用：
-
HEAD 不用额外写，但不能漏：Nginx 自动包含；Apache 若只写
LimitExcept GET，HEAD 也会被拒，引发缓存探针失败或健康检查报 405。 - OPTIONS 必须显式加入白名单：CORS 预检、某些 API 网关探测都依赖它，不加就无法跨域写操作。
-
TRACE 默认禁用，无需干预：Apache 默认
TraceEnable off，Nginx 不支持 TRACE 方法，两者都不需要在limit_except中专门处理。
调试 405 错误的实用步骤
返回 405 Not Allowed 说明请求方法被明确拒绝，不是配置加载失败：
- 用
curl -X METHOD URL逐个测试目标方法（如curl -X POST http://site/api）； - 检查日志：Apache 看
error.log是否有「client denied by server configuration」；Nginx 查error.log中「access forbidden by rule」提示； - 确认作用域：Apache 的
LimitExcept是否包在<directory></directory>里；Nginx 的limit_except是否在location块内——放错位置会导致指令被忽略。
