Apache 禁止目錄瀏覽 403 配置指南

為防止敏感文件洩露，生產環境必須禁用 Apache 目錄索引功能。本文詳解 httpd.conf 配置修改、.htaccess 替代方案、虛擬主機隔離配置及驗證方法。

核心配置：httpd.conf

方法一：全局禁用 (推薦)

# 找到主 Directory 塊
<Directory />
    Options Indexes FollowSymLinks
    AllowOverride None
    Require all granted
</Directory>

# 修改為
<Directory />
    Options FollowSymLinks  # 移除 Indexes
    AllowOverride None
    Require all granted
</Directory>

關鍵點：移除 Indexes 選項即可禁用目錄列表。

方法二：特定站點目錄禁用

<Directory "/var/www/html">
    Options -Indexes  # 明確禁用 (前綴 - 表示移除)
    AllowOverride All
    Require all granted
</Directory>

方法三：虛擬主機級別

<VirtualHost *:80>
    DocumentRoot /var/www/site1
    ServerName site1.com
    
    <Directory /var/www/site1>
        Options -Indexes
        AllowOverride All
        Require all granted
    </Directory>
</VirtualHost>

.htaccess 替代方案 (無權修改主配置)

# 放在網站根目錄 .htaccess
Options -Indexes

# 或完全禁止訪問 (返回 403)
# Deny from all  # Apache 2.2
# Require all denied  # Apache 2.4+

前提：對應目錄 AllowOverride Options 或 AllowOverride All。

驗證方法

1. 重啟 Apache：sudo systemctl restart apache2 / httpd -k restart
2. 訪問無索引文件的目錄：https://your-domain.com/subdir/
3. 預期結果：403 Forbidden

   Forbidden
   You don't have permission to access /subdir/ on this server.

4. 正常文件訪問不受影響：https://your-domain.com/index.php

常見問題排查

安全加固建議

1. 隱藏版本信息：ServerTokens Prod、ServerSignature Off
2. 禁用不必要模塊：a2dismod autoindex (直接卸載模塊)
3. 敏感文件保護：

   <FilesMatch "^\.">
       Require all denied
   </FilesMatch>
   <FilesMatch "\.(env|ini|log|bak|sql)$">
       Require all denied
   </FilesMatch>

4. 啟用 ModSecurity WAF：應用層防護

Nginx 對比配置

# Nginx 禁用目錄瀏覽 (默認關閉)
location / {
    autoindex off;  # 顯式關閉
    # try_files $uri $uri/ =404;  # 無索引文件返回 404
}

禁用目錄瀏覽是 Web 服務器安全基線配置，務必在所有生產環境執行並驗證。