Apache DocumentRoot 安全需容器层只读挂载（如read_only: true）为第一道防线，再配合Options -Indexes -FollowSymLinks -ExecCGI、AllowOverride None、Require all granted及根目录封堵等Apache配置协同加固。
Apache 的 DocumentRoot 本身是路径定义，不自带安全属性；在云原生环境里，它的安全性不能靠 Apache 单独配置兜底，而要靠底层运行时（如容器）用只读挂载（:ro）从内核层锁死写入能力——这是最轻量、最可靠的第一道防线。
DocumentRoot 必须挂载为只读
容器启动时，DocumentRoot 对应的宿主机目录必须显式以只读方式挂载。否则即使 Apache 配置了 Require all denied 或禁用 Options +ExecCGI，一旦容器被突破，攻击者仍可直接写入 Webshell、覆盖 index.php 或注入恶意 JS 文件。
- 推荐使用长语法，语义清晰、审计友好：
volumes:- type: bindsource: /data/web/example.comtarget: /var/www/example.comread_only: true - 避免短语法漏写
:ro：Docker 默认全部挂载为可写，不加标识等于裸奔 - 宿主机路径需提前创建并设好权限（如
chown -R www-data:www-data /data/web/example.com && chmod -R 755），否则容器因无读权限无法启动
DocumentRoot 路径设计要隔离且最小化
只读挂载有效，前提是挂载点足够“干净”——不能挂整个 /var/www，也不能挂含源码、日志或配置的父目录，否则只读策略形同虚设。
- 路径推荐用独立子目录，例如
/data/web/example.com/public，与备份、上传、日志等目录物理分离 - 禁止挂载含敏感文件的路径，如
/data/web/example.com/src（可能暴露.env）、/data/web/example.com/conf（可能暴露数据库密码） - 若需动态内容（如 PHP），DocumentRoot 下只放入口脚本（
index.php）和静态资源；业务逻辑、模板、配置应通过其他只读卷单独挂载，不混在同一路径
Apache 配置需与只读挂载协同生效
只读挂载是基础，但 Apache 层仍需关闭默认宽松行为，防止绕过或误用。
- 对应
<Directory "/var/www/example.com">块中必须设置：Options -Indexes -FollowSymLinks -ExecCGI -IncludesAllowOverride NoneRequire all granted - 用
<FilesMatch>拦截敏感后缀（如\.php\.bak$、\.log$），避免因文件残留导致泄露 - 禁用根目录访问：
<Directory "/"> Require all denied </Directory>，防止Alias / ..类路径穿越利用
配合云原生基础设施加固
只读挂载解决的是“数据不动”，还需结合平台能力堵住其他入口。
- Kubernetes 中，通过
securityContext.readOnlyRootFilesystem: true进一步锁定容器根文件系统，与 DocumentRoot 只读挂载形成双重防护 - 证书、配置模板等也应统一用
ConfigMap或Secret挂载，并设readOnly: true - Ingress 终止 TLS 后，Apache 容器只需处理 HTTP 流量，减少自身 SSL 配置暴露面；所有域名路由由 Ingress 控制，Apache 不再承担虚拟主机多租户分发职责
