最直接有效的方式是在 Apache 的 Directory 或虚拟主机配置块中使用 FilesMatch 指令匹配后缀并拒绝访问，支持正则、作用于真实路径，Apache 2.4+ 用 Require all denied，需锚定后缀如 .(env|log|sql)$ 防误杀，且不可置于 中。
最直接有效的方式是在 Apache 的 Directory 或 虚拟主机配置块 中使用 FilesMatch 指令匹配后缀并拒绝访问。它支持正则、作用于真实文件系统路径，且 Apache 2.4+ 下语义清晰、无兼容陷阱。
用 FilesMatch 精准拦截敏感后缀
这是首选方案，适用于绝大多数静态文件场景（如 .env、.log、.bak、.sql 等）：
- 必须写在
<directory></directory>或<virtualhost></virtualhost>块内，不能放在<location></location>中（后者不识别物理文件路径） - 推荐加锚定符
$防止误杀：例如\.(env|log|bak)$不会误拦myenv.php - Apache 2.4+ 写法：
<FilesMatch "\.(env|log|sql|sh|git)$"><br> Require all denied<br></FilesMatch>
- 若仍用 Apache 2.2，请改用
Deny from all，混用会导致 500 错误
当 FilesMatch 失效时：用 mod_rewrite 在 URL 层拦截
适用于文件不在 DocumentRoot 下、或路径由重写规则动态生成的场景（如 Laravel 的 storage 目录、自定义上传路径）：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 启用重写引擎：
RewriteEngine On - 匹配请求 URI 后缀，忽略大小写：
RewriteCond %{REQUEST_URI} \.(env|log|sql|sh)$ [NC] - 返回 403 禁止访问：
RewriteRule ^ - [F]
（[R=404]可伪装成不存在，但不符合安全语义） - 该规则需置于其他重写规则之前，避免被跳过
- 确认
mod_rewrite已启用（Debian/Ubuntu 执行a2enmod rewrite）
确保 .htaccess 生效的前提条件
如果选择把规则写在站点根目录下的 .htaccess 文件里，必须满足以下两点，否则配置完全无效：
- 对应
<directory></directory>块中设置：AllowOverride FileInfo（或All），仅FileInfo就足够支持FilesMatch和mod_rewrite - 主配置中不能设为
AllowOverride None—— 这是导致大量用户“写了没反应”的根本原因 - 修改完主配置后，务必运行
apachectl configtest校验语法，并执行systemctl reload apache2生效
为什么 RedirectMatch 不适合做访问控制
RedirectMatch 是重定向指令，不是访问控制机制：
- 它把请求发回客户端再跳转，原始资源仍可被直接访问（只要攻击者知道真实路径）
- 服务器日志中仍会记录该请求，存在信息泄露风险
- 返回 404 并不等于禁止访问，只是隐藏了响应内容；而
Require all denied或[F]能真正阻断请求处理流程
