应禁用目录浏览以防止敏感文件泄露，具体措施包括：一、Apache中关闭Indexes选项；二、敏感目录下部署.htaccess禁止访问；三、Nginx中用location ^~精确屏蔽；四、添加空index.html覆盖索引；五、调整部署结构使敏感目录脱离Web根目录。
如果您部署了ThinkPHP项目，但发现可通过浏览器直接访问application、config等目录并列出文件列表或下载敏感配置，则说明目录浏览功能未被禁用。以下是禁止目录浏览的具体配置步骤：
一、Apache服务器中关闭Indexes选项
Apache默认启用目录索引（Options Indexes），导致访问无index文件的目录时显示全部文件列表。关闭该选项可阻止目录遍历，是基础且关键的防护措施。
1、打开Apache主配置文件httpd.conf或对应虚拟主机配置文件。
2、查找包含Options Indexes FollowSymLinks的行。
立即学习“PHP免费学习笔记（深入）”；
3、将其中的Indexes替换为-Indexes，使整行变为：Options -Indexes FollowSymLinks。
4、保存文件，执行apachectl configtest验证语法，再运行systemctl reload apache2（或httpd）重载服务。
二、在敏感目录下部署.htaccess文件
针对已部署在Web根目录下的ThinkPHP敏感目录（如application、config、runtime），可在其内部单独放置.htaccess文件，强制拒绝所有HTTP访问请求，不依赖全局配置。
1、进入application目录，新建文件名为.htaccess的文本文件。
2、向该文件写入以下内容：Deny from all。
3、对config、runtime、common、extend等目录重复执行步骤1–2。
4、确认Apache已启用mod_rewrite模块，并在虚拟主机配置中设置AllowOverride All，否则.htaccess不生效。
三、Nginx服务器中使用location ^~精确屏蔽
Nginx不支持.htaccess，必须在server块中显式声明禁止规则。使用location ^~前缀匹配可确保规则优先级高于正则路由，防止被ThinkPHP通用rewrite规则绕过。
1、编辑站点对应的Nginx配置文件（通常位于/etc/nginx/sites-enabled/或/usr/local/nginx/conf/vhost/）。
2、在server块内添加如下规则段：
location ^~ /application/ { deny all; }
location ^~ /config/ { deny all; }
location ^~ /runtime/ { deny all; }
3、若存在common或extend目录，按相同格式追加对应location ^~ /common/ { deny all; }等规则。
4、执行nginx -t测试配置语法，成功后运行systemctl reload nginx生效。
四、通过空index文件覆盖目录索引行为
当无法修改服务器配置或.htaccess受限时，可在敏感目录中放置空白或提示型默认首页，使Apache/Nginx优先返回该文件而非目录列表，实现被动防御。
1、进入application目录，新建文件index.html。
2、在该文件中写入纯文本：Directory access is forbidden.
3、对config、runtime等目录重复执行步骤1–2，确保每个需保护目录均含此文件。
4、确认Web服务器默认索引文件列表包含index.html（Apache默认为DirectoryIndex index.html index.php）。
五、调整项目部署结构隔离敏感路径
最彻底的防护方式是将敏感目录移出Web可访问范围，仅保留public目录为唯一Web入口点。此法从根源上消除URL可达性，无需依赖服务器层拦截。
1、将原项目根目录下的application、config、runtime等目录整体剪切至Web根目录上级（如/var/www/thinkphp/）。
2、确保public目录为Web服务器DocumentRoot指向路径。
3、编辑public/index.php，修改应用路径定义为：define('APP_PATH', __DIR__ . '/../application/');（依实际结构调整路径）。
4、检查public目录内是否存在application、config等子目录，如有则立即删除，避免残留暴露。
