Apache最小权限原则核心是服务进程、文件系统与配置指令均仅拥有必要最低权限。需创建专用受限用户组（如apache:apache，禁用shell登录），网站目录设750、静态文件644、配置与日志640；禁用AllowOverride All，精简模块并隐藏ServerTokens和ServerSignature。
在 Apache 中实施最小权限原则，核心是让服务进程、文件系统和配置指令都只拥有完成其功能所必需的最低权限，不给攻击者留出提权或越界操作的空间。
运行用户与组要专用且受限
Apache 绝不能以 root 或普通登录用户（如 www-data、nobody）运行。应创建独立用户和组，比如 apache:apache，并确保该用户：
- 没有 shell 登录权限（/sbin/nologin 或 /usr/sbin/nologin）
- 不属于任何特权组（如 sudo、wheel）
- 仅对 Web 根目录、日志目录有最小必要访问权
在 httpd.conf 或 apache2.conf 中明确指定：
Group apache
文件与目录权限需按角色严格区分
权限不是越宽松越好，也不是一刀切设为 755。关键看“谁需要什么权限”：
- 网站根目录（如
/var/www/html）：推荐 750（所有者读写执行，组可读执行，其他无权） - 静态网页文件（.html/.css/.js）：设为 644，禁止执行位
- PHP 等脚本文件：仍用 644，执行由 Apache 模块控制，而非文件权限
- 上传目录（如
/uploads）：目录设 755，上传后的文件自动设为 644，禁止执行 - 配置文件（
httpd.conf、.htaccess）和日志：统一设为 640，仅管理员和 apache 用户可读
执行命令示例：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
find /var/www/html -type f -exec chmod 644 {} \;
find /var/www/html -type d -exec chmod 750 {} \;
配置指令权限要按需开放，禁用“全开”模式
AllowOverride 是高危开关，直接决定 .htaccess 能否生效及能用哪些指令：
- 生产环境严禁使用
AllowOverride All - 静态资源目录建议设为
AllowOverride None - 若必须支持重写或认证，只启用所需模块，例如：
AllowOverride AuthConfig FileInfo
同时，在上传目录等敏感路径中显式关闭覆盖能力：
<Directory "/var/www/html/uploads">AllowOverride None
Require all granted
</Directory>
模块与响应头也要精简裁剪
最小权限不仅限于用户和文件，还体现在服务暴露面上：
- 禁用非必要模块：注释掉
mod_info、mod_status、mod_userdir等可能泄露信息的模块 - 隐藏版本标识：在配置中加入
ServerTokens Prod和ServerSignature Off - 限制错误页面信息：避免在 404/500 页面中显示服务器类型、路径或模块细节
这些看似细微的设置，共同构成一道不依赖单一防护点的纵深防线。
