Directory容器不能嵌套，因其是路径作用域容器而非逻辑分组标签；Apache按最长路径匹配原则选择生效块，需用平行独立的Directory块实现权限覆盖，并可配合FilesMatch进行文件级控制。

Directory 容器不能嵌套——这是 Apache 配置中一个关键但常被误解的点。你无法在 `` 块内部再写一个 `` 块，Apache 会直接报语法错误（`Invalid command '', perhaps misspelled or defined by a module not included in the server configuration`）。

为什么不能嵌套？

Apache 的 `` 是**路径作用域容器**，不是逻辑分组标签。它的设计目标是“为某一路由路径绑定一组指令”，而非构建树状结构。配置解析器按顺序扫描所有 `` 段，根据**路径匹配长度优先原则**（最长路径匹配）决定哪一段生效，不需要、也不支持嵌套语法。

例如，以下写法是非法的：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

<Directory "/var/www/site">
  Require all granted
  <Directory "/var/www/site/uploads"> <!-- ❌ 错误：嵌套不被允许 -->
    Require all denied
  </Directory>
</Directory>

正确替代方案：独立声明 + 精确路径

要实现“主目录开放、子目录收紧”的效果，应单独定义两个平行的 `` 块，用更具体的路径覆盖通用路径：

• 先定义宽泛路径（如 `/var/www/site`），设基础权限
• 再定义更长、更精确的子路径（如 `/var/www/site/uploads`），其指令会自动覆盖前者
• Apache 总是选取**路径字符串最长的那个 `` 块**来应用

<Directory "/var/www/site">
  Options FollowSymLinks
  AllowOverride All
  Require all granted
</Directory>

<Directory "/var/www/site/uploads">
  Options -Indexes
  AllowOverride None
  Require all denied
  <FilesMatch "\.(php|pl|py|jsp|sh|cgi)$">
    Require all denied
  </FilesMatch>
</Directory>

配合 Files/FilesMatch 实现文件级控制

当需要限制特定类型文件（如禁止执行脚本），推荐在 `` 内部使用 ``，它合法且高效：

• `` 可出现在 `` 内，也可独立存在
• 正则匹配文件名（不依赖路径），适合统一拦截 `.ht*`、`.php` 等敏感后缀
• 示例：` Require all denied ` 会拒绝所有 `.php` 文件访问

注意事项

确保路径与 `DocumentRoot` 严格一致，区分大小写；避免符号链接路径歧义；修改后务必运行 `apachectl -t` 验证语法，并用 `systemctl reload httpd` 生效。多目录块之间无继承关系，全靠路径长度和配置顺序决定最终行为。