Apache DocumentRoot 安全加固需实施三层策略：最小暴露（选用隔离路径如/srv/www/example.com/public并严格权限）、严格控制（Options -Indexes -FollowSymLinks、AllowOverride None、Require all denied）、纵深防御（配合mod_security、安全响应头、上传目录分离等）。
Apache 的 DocumentRoot 是网站内容的物理起点，它本身不是安全模块，但配置不当会直接放大攻击面——比如目录遍历、敏感文件暴露、脚本执行失控等。安全加固不是单独改一个路径，而是围绕它构建“最小暴露+严格控制+纵深防御”的三层策略。
DocumentRoot 路径本身要干净且受限
选路径时避开系统关键目录（如 /、/etc、/home），也不用 Apache 默认的 /var/www/html（除非你明确管控了该路径权限）：
- 推荐使用独立路径，例如
/srv/www/example.com/public或/opt/webroot/myapp，与系统目录隔离 - 确保该目录属主为非 root 用户（如
www-data或自建webuser），且组和其他用户无写权限：chown -R webuser:www-data /srv/www/example.com/publicchmod -R 755 /srv/www/example.com/public（静态资源可进一步设为644） - 禁止 DocumentRoot 指向源码目录或配置目录（如
/srv/www/example.com/src或/srv/www/example.com/conf），防止 .git、.env、config.php 等被直接下载
在对应 块中禁用高危行为
仅设置 DocumentRoot 不够，必须配对定义其 <directory></directory> 区块，并关闭默认宽松行为：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 关闭目录浏览：
Options -Indexes（防文件结构泄露） - 禁用符号链接跟踪：
Options -FollowSymLinks（防通过软链逃逸到系统敏感路径） - 禁止 .htaccess 覆盖：
AllowOverride None（提升性能，避免分散式配置引入漏洞；如确需局部覆盖，只在子目录中显式启用） - 限制 HTTP 方法：
<limitexcept get head post>Deny from all</limitexcept>（防 PUT/DELETE/TRACE 等滥用） - 拒绝所有默认访问，再按需放开：
Require all denied→ 后续再用Require ip 192.168.1.0/24或Require local精确放行
配合其他机制形成纵深防护
DocumentRoot 是入口，但真正的安全靠组合动作：
- 用
mod_security规则拦截针对 DocumentRoot 下常见敏感路径的扫描（如/phpinfo.php、/wp-admin/、/.git/config） - 用
mod_headers设置X-Content-Type-Options: nosniff和X-Frame-Options: DENY，防止 MIME 类型混淆或点击劫持影响该目录下页面 - 若站点含上传功能，**绝不**让上传目录位于 DocumentRoot 内；应设为独立路径（如
/var/uploads），并在 Apache 中用<location></location>单独配置：禁用脚本执行（SetHandler none）、限制文件类型（ForceType text/plain）、拒绝 PHP 解析 - 启用
ServerTokens Prod和ServerSignature Off，避免错误页暴露 DocumentRoot 路径真实结构
验证是否生效
改完别忘了验证：
- 运行
apachectl -t检查语法 - 重启服务后，访问一个不存在的路径，确认返回 404 且不显示路径信息
- 尝试访问
/robots.txt或/favicon.ico，确认能正常响应；再试/.htaccess，应返回 403 或 404 - 用 curl 查看响应头：
curl -I http://your-site/，确认没有Server: Apache/2.4.63 (Ubuntu)这类详细标识
