核心是切断上传目录中脚本文件与PHP处理器的关联，应优先用SetHandler None清除绑定，其次考虑php_flag engine off（仅模块模式），并配合FilesMatch正则覆盖多后缀绕过，如(?i:php|php3|phtml|phar|php[3-8]|phps)，确保在Directory块或.htaccess中精准生效。
核心是切断上传目录中脚本文件与 PHP 处理器的关联，不是靠删后缀或改权限——Apache 仍可能按多后缀规则误解析。关键在配置层级和指令选型：优先用 SetHandler None 清除绑定，其次考虑 php_flag engine off（仅限模块模式），.htaccess 方案需权限支持。
按目录精准禁用解析（推荐）
对 /var/www/html/uploads 这类纯文件存放目录，直接在虚拟主机或主配置中加 <Directory> 块：
- 方式一（兼容性强，推荐）：
<Directory "/var/www/html/uploads"><br> <FilesMatch "\.(?i:php|php3|php4|php5|phtml|phar)$"><br> SetHandler None<br> </FilesMatch><br></Directory>
它让 Apache 忽略所有匹配后缀的处理器绑定，哪怕文件叫shell.php.jpg也不会触发 PHP 解析。 - 方式二（仅模块模式可用）：
<Directory "/var/www/html/data"><br> php_flag engine off<br></Directory>
注意：PHP-FPM 模式下该指令无效，会报错；且不能写在.htaccess中，除非主配置允许AllowOverride Options=All。
堵住多后缀绕过漏洞
Apache 默认从右往左识别后缀，a.php.jpg 可能被当作 PHP 执行（若 .jpg 未注册 MIME 类型）。必须配合 FilesMatch 覆盖所有常见组合：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 正则要覆盖大小写：
"\.(?i:php|phtml|phar|php[3-8]|phps)$" - 避免只禁
.php—— 攻击者常用.php3、.phtml或双后缀如.php.jpg - 若用
Require all denied，它只是拒绝访问，不阻止解析；真正防执行必须用SetHandler None或engine off
共享主机场景下的 .htaccess 方案
无主配置权限时，在上传目录放 .htaccess：
- 确保主配置已设
AllowOverride All或至少AllowOverride Options=All - 内容示例：
<FilesMatch "\.(?i:php|php3|php4|php5|phtml)$"><br> Require all denied<br></FilesMatch>
这能阻止访问，但不如SetHandler None彻底（因不涉及处理器层面）；适合 Apache 2.4+ 环境。 - 旧版 Apache（2.2）用
Order Deny,Allow+Deny from all，但已不推荐
验证是否真正生效
配置后必须实测，避免被更高优先级配置覆盖：
- 上传测试文件
test.php，内容为<?php echo 'executed'; ?> - 用
curl -I http://yoursite.com/uploads/test.php查看响应头：
成功应返回Content-Type: text/plain或403 Forbidden，而非200 OK且含 PHP 输出 - 检查 Apache 错误日志：
tail -f /var/log/httpd/error_log，确认无Invalid command 'php_flag'等报错
