Apache限制目录IP访问需据版本选Require（2.4+推荐）或Order/Allow/Deny（2.2及更早），核心是路径匹配准确、规则逻辑清晰、配置位置正确；Require须首行写Require all denied，Order则需明确Deny,Allow优先级。
apache 通过 <directory> 限制特定目录的 ip 访问，核心是用 require 指令（2.4+）或 order/allow/deny（2.2 及更早），关键在**路径匹配准确、规则逻辑清晰、配置位置正确**。当前生产环境强烈推荐使用 require 方式。
Apache 2.4+：用 Require 实现白名单（推荐）
必须显式拒绝全部，再逐条放行可信 IP 或网段。多条 Require ip 是“或”关系，满足任一即允许。
-
Require all denied必须写在第一行，否则未匹配请求可能继承上级策略，导致意外放行 - 支持单 IP（
192.168.5.22）、CIDR 网段（10.0.0.0/8）、IPv6（2001:db8::/32） - 示例：只允许本地和公司内网访问
/var/www/html/admin
<Directory "/var/www/html/admin">
Require all denied
Require ip 127.0.0.1
Require ip 192.168.10.0/24
</Directory>
Apache 2.2 及更早：用 Order + Deny/Allow（仅限遗留系统）
该语法已废弃，仅用于 CentOS 6 等老旧环境。重点看 Order 决定优先级：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
Order Deny,Allow：先执行所有Deny，再叠加Allow，Allow优先级更高 -
Order Allow,Deny：先执行Allow，再叠加Deny，Deny优先级更高 - 白名单典型写法：
Order Deny,Allow+Deny from all+ 多个Allow from xxx
<Directory "/var/www/html/dev">
Order Deny,Allow
Deny from all
Allow from 127.0.0.1
Allow from 192.168.5.22
</Directory>
必须检查的配套设置
光写规则不够，以下任一缺失都可能导致失效：
-
AllowOverride None：确保 .htaccess 无法绕过该目录的访问控制 - 路径大小写与实际文件系统一致，末尾斜杠不影响匹配
- 若网站前置 CDN 或负载均衡，需启用
mod_remoteip并配置RemoteIPHeader X-Forwarded-For，否则Require ip判的是 CDN 节点 IP - 禁止混用新旧语法——
Order/Allow/Deny和Require同时出现会触发 500 错误
验证是否生效
改完配置后不能只靠浏览器点一点，要分场景测试：
- 从白名单 IP 访问目标目录 → 应正常返回页面或资源
- 从非白名单 IP 访问 → HTTP 状态码应为 403 Forbidden
- 检查 Apache 错误日志（
error_log）是否有 "client denied by server configuration" 提示 - 运行
sudo apachectl configtest确保语法无误，再重启服务（systemctl restart httpd）
