Apache权限配置核心是文件与网络双层访问控制：通过<Directory>设置Require指令限制访问范围，禁止敏感目录被直接访问，匹配Apache进程用户权限（如www-data），并可选.htaccess实现细粒度控制。
Apache 权限配置不是单指“谁能不能启动服务”，而是围绕文件访问控制和网络访问控制两层来设置的。核心目标是：让网站能正常运行，又不让不该看的人看到不该看的文件或目录。
一、控制谁可以访问你的网站目录
这是最常遇到的权限问题，比如打开网页时提示 403 Forbidden，或者 PHP 文件不执行。关键在 <Directory> 块里：
- 用
Require all granted允许所有人访问（开发环境常用） - 用
Require local只允许本机（127.0.0.1）访问 - 用
Require ip 192.168.1.0/24只放行内网段 - 旧版本 Apache（2.2）用
Order deny,allow+Deny from all/Allow from xxx，但已不推荐
示例（Apache 2.4+）：
<Directory "/var/www/html/myapp">Options FollowSymLinks
AllowOverride None
Require all granted
</Directory>
二、限制敏感目录被直接访问
像 /inc、/config、/vendor 这类存放代码逻辑或配置的目录，不应被浏览器直接打开：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 在主配置或虚拟主机中添加独立的
<Directory>块 - 路径写绝对路径，例如
/var/www/html/myapp/config - 设为
Require all denied或Require local
这样即使 URL 输入 http://yoursite.com/config/db.php，也会返回 403。
三、文件系统权限要匹配 Apache 进程身份
Apache 不是以你登录用户的名义运行的，而是以特定用户（如 www-data（Ubuntu/Debian）、apache（CentOS）或 _www（macOS））启动的进程。它必须有读取 HTML/PHP 文件、读取配置、写入日志的权限：
- 网站文件属主可设为你的账号，但组要加到 Apache 用户组（如
chgrp -R www-data /var/www/html） - 目录权限建议
755（所有者可读写执行，组和其他人只读执行） - 文件权限建议
644（所有者可读写，组和其他人只读） - 日志目录和上传目录需额外开放写权限（如
775+ 设置 setgid 位）
四、用 .htaccess 实现细粒度控制（需开启支持）
如果不想改主配置，可在某个子目录下放 .htaccess 文件，但前提是主配置中该目录的 AllowOverride 设为 All 或至少 AuthConfig、Limit：
- 禁止访问某类文件：
<FilesMatch "\.(env|log|ini|conf)$">Require all denied</FilesMatch> - 密码保护目录：
AuthType Basic+AuthUserFile+Require valid-user - 注意：
.htaccess每次请求都会被重读，性能略低，生产环境更推荐写进主配置
