Apache限制特定IP访问动态页面需按资源类型精准匹配：用<Files>限制.php等后缀，<Location>限制/api/等路径，或用mod_rewrite结合REMOTE_ADDR、REQUEST_URI和REQUEST_METHOD实现条件拦截，配置后须apachectl -t验证并注意代理环境IP识别。
限制特定 IP 访问动态页面（如 .php、.py、.cgi 等后缀的脚本），关键在于**按请求资源类型或路径精准匹配**，而非笼统限制整个网站。Apache 提供了基于文件扩展名、URL 路径或执行上下文的多种控制方式，下面分场景说明实用配置方法。
用 <Files> 指令限制特定后缀的动态页面
适用于所有以某扩展名结尾的动态脚本（例如禁止非内网访问 .php 文件）：
- 在主配置（
httpd.conf）或虚拟主机块中添加：
Require all denied
Require ip 192.168.1.0/24 10.0.0.5
</Files>
该配置会拒绝所有 IP 对 /admin.php、/api/data.php 等 PHP 文件的访问，仅放行指定内网段和单 IP。注意：<Files> 匹配的是最终解析后的文件名，对通过 URL 重写生成的动态路径无效。
用 <Location> 限制特定 URL 路径下的动态接口
适合 REST API、后台入口等逻辑上属于“动态页面”但无固定后缀的路径（如 /api/v1/users、/wp-admin/）：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 在虚拟主机或主配置中配置：
Require all denied
Require ip 203.0.113.22 2001:db8::/32
</Location>
此规则作用于所有以 /api/ 开头的 HTTP 请求路径，无论其背后是 PHP、Python 还是 Node.js 处理，只要 Apache 接收到该路径请求就触发检查。支持 IPv6，也兼容反向代理场景（需确保 X-Forwarded-For 已被可信代理设置并启用 RemoteIP 模块）。
结合 mod_rewrite 实现条件性拦截（高级灵活场景）
当需要根据请求方法、参数或来源特征动态拦截时（例如：只封禁 POST 到 /login.php 的恶意 IP）：
- 启用重写模块后，在
.htaccess或配置中写：
RewriteCond %{REMOTE_ADDR} ^198\.51\.100\.([0-9]|[1-9][0-9]|1[0-9]{2}|2[0-4][0-9]|25[0-5])$
RewriteCond %{REQUEST_URI} \.php$ [NC]
RewriteCond %{REQUEST_METHOD} POST
RewriteRule ^ - [F]
这段规则表示：若客户端 IP 属于 198.51.100.0/24，且请求的是 PHP 文件，并且是 POST 方法，则直接返回 403。它比静态 Require not ip 更细粒度，但性能开销略高，建议仅用于必要策略。
注意事项与验证要点
配置后务必验证是否生效：
-
语法检查：运行
apachectl -t或apache2ctl -t确保无配置错误； -
作用域确认：
<Files>和<Location>不可嵌套混用，避免规则冲突； -
代理环境特别注意：如果前端有 Nginx 或 CDN，
%{REMOTE_ADDR}可能是代理 IP，应改用%{HTTP:X-Forwarded-For}并配合RemoteIPInternalProxy设置可信源； - PHP-FPM 场景补充：若使用 PHP-FPM，部分动态行为由 FPM 进程处理，Apache 层的限制仍有效，但不替代 PHP 内部鉴权。
