Apache 2.4+ 用 Require 替代 Order/Allow/Deny，需显式声明 Require all denied 防继承，多规则默认“或”，“且”需 RequireAll；Basic 认证须配 AuthUserFile、AuthType 与 Require valid-user；.htaccess 生效需 AllowOverride All（慎用）；HSTS 首次部署建议 max-age=300 验证。
Apache目录访问权限如何用 Require 控制
Apache 2.4+ 已弃用 Order/Allow/Deny，统一用 Require 指令管理访问。不更新配置会导致 500 错误或权限失效。
常见场景下直接在
<directory>
Require all denied
Require ip 192.168.1.0/24
Require valid-user
</directory>
注意：Require 是“白名单优先”，多条规则默认是“或”关系；若要“且”，得用 RequireAll 容器。容易漏掉的是：未显式声明 Require all denied 时，父目录的权限可能意外继承。
-
Require all granted→ 允许所有请求（含匿名） -
Require ip 127.0.0.1→ 仅本机可访 -
Require ldap-group cn=admins,ou=groups,dc=ex→ LDAP 集成需额外加载mod_authnz_ldap
Basic 认证为何总提示 401 或循环弹窗
不是密码错，大概率是认证文件路径、用户数据库或上下文作用域没对齐。Apache 不会自动创建 .htpasswd，必须手动生成并确保 Web 进程有读权限。
实操要点：
- 用
htpasswd -c /etc/apache2/.htpasswd admin创建首个用户（-c仅首次加） -
AuthUserFile路径必须是绝对路径，且不能放在 Web 可访问目录下（如别放在/var/www/html/.htpasswd） -
AuthType Basic必须与Require valid-user或Require user xxx配套，缺一不可 - 若启用 SSL，务必确认
SSLStrictSNIVHostCheck off不影响虚拟主机匹配，否则认证模块可能未加载
HTTPS 强制跳转与 HSTS 头怎么配才不翻车
只写 RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L] 不够。现代浏览器对混合内容和证书链敏感，跳转逻辑必须和虚拟主机结构对齐。
推荐做法：
- 在 HTTP 虚拟主机中用
RewriteCond %{HTTPS} off+RewriteRule，避免无条件重写导致死循环 - HSTS 头应只在 HTTPS 主机中设置：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" - 加
includeSubDomains前确认所有子域名都已支持 HTTPS，否则二级域名会彻底不可访问 - 首次部署 HSTS 建议先设
max-age=300（5 分钟），验证无误再逐步拉长
为什么 .htaccess 有时完全不生效
根本原因几乎总是 AllowOverride None —— 这是 Apache 默认值，尤其在 Debian/Ubuntu 的 000-default.conf 中被显式设为 None。
检查和修复步骤：
- 运行
apache2ctl -t -D DUMP_VIRTUALHOSTS看当前生效的AllowOverride值 - 在对应
AllowOverride All（生产环境慎用，建议只开AuthConfig或Limit） -
.htaccess文件权限需为 644，且属主不能是 root（Apache 工作进程通常以www-data身份读取） - 若启用了
mod_access_compat，它会干扰Require解析，建议彻底禁用该模块
真正难调试的是嵌套目录权限叠加和模块加载顺序——比如 mod_ssl 必须在 mod_auth_basic 之前加载，否则认证头可能被丢弃。
