Apache目录访问控制必须结合Require显式授权与Options权限裁剪：Require all denied阻断未授权访问，Options -Indexes等禁用危险功能，并用FilesMatch拦截敏感文件，三步验证确保生效。

Apache目录访问控制不能只靠“禁止浏览”或“关掉Indexes”，必须结合Require指令的显式授权逻辑与Options的执行权限裁剪，才能真正阻断未授权访问和脚本滥用。

用Require明确白名单，杜绝隐式继承风险

Apache 2.4+ 已弃用 Order/Allow/Deny，所有访问规则必须用 Require 显式声明。默认不写任何 Require 时，会继承父目录策略，极易造成权限泄露。

• Require all denied → 彻底拒绝所有请求（含匿名），适合敏感后台、配置目录
• Require ip 10.0.2.0/24 → 仅允许内网段访问，可用于运维接口
• Require valid-user → 强制 Basic 认证，需搭配 AuthUserFile 和 AuthType Basic
• 多条件“且”关系必须套 <RequireAll>...</RequireAll>，例如“仅限某IP + 必须认证”

禁用危险Options，防止目录遍历与脚本执行

Options 不是开关列表，而是执行能力清单。放任默认值等于开放攻击面。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• Options -Indexes → 禁用目录索引，避免文件结构暴露（如 /uploads/ 列出所有图片）
• Options -ExecCGI -Includes -FollowSymLinks → 关闭CGI执行、SSI解析、符号链接跟随，尤其对上传目录、日志目录必须加
• Options None → 最严策略，完全禁用所有扩展功能，适合纯静态资源目录
• 切勿单独写 Options +Indexes，这会覆盖父级的 -Indexes，导致意外开启目录列表

保护敏感路径：文件匹配 + 目录隔离双保险

攻击者常直接请求 .htaccess、.git/config 或 backup.zip，单靠目录权限不够，必须精准拦截文件类型。

• 在主配置或虚拟主机中添加：
  

  <FilesMatch "\.(htaccess|htpasswd|ini|log|bak|swp|git|svn|env)$"><br>
        Require all denied<br>
      </FilesMatch>

• 对备份、日志、版本库等目录单独限制：
  

  <Directory "/var/www/html/backups"><br>
        Require all denied<br>
        Options None<br>
      </Directory>

• 确保这些配置放在 <VirtualHost> 内或全局 <Directory> 块中，避免被 .htaccess 覆盖

验证是否生效：三步快速检测

配完不验证等于没配。重点检查三个典型场景：

• 浏览器访问 https://yoursite/.htaccess → 应返回 403 Forbidden，而非下载或 200
• 访问一个空目录（如 /test/）→ 不应出现“Index of /test”页面
• 上传一个 test.php 到公开目录 → 直接请求该URL应返回 403 或 500，而非执行输出
• 查错误日志：tail -f /var/log/apache2/error.log，看到 AH01797: client denied by server configuration 即表示拦截成功