xampp中apache多端口配置本身不具目录排除能力，必须通过块配合绝对路径与require all denied显式禁止；端口仅负责请求分发，权限控制须在虚拟主机或主配置中定义。
直接说结论：XAMPP中Apache无法通过「多端口配置」本身来“排除特定目录”，必须靠 <directory></directory> 段配合路径匹配或 Require 规则实现访问控制；端口只是入口，权限和路由逻辑在虚拟主机或主配置里定义。
Listen 和 VirtualHost 只负责端口绑定，不处理目录排除
很多人误以为加了 Listen 8081 再配个 <virtualhost></virtualhost> 就能自动隔离目录——其实不是。这个配置只告诉 Apache：“收到发往 8081 端口的请求，用这段 DocumentRoot 去找文件”。它不会主动跳过某个子目录，也不会默认屏蔽任何路径。
-
DocumentRoot "D:/projects/site-a"表示所有请求都从该目录开始解析，包括/admin、/uploads、/api - 想让
/private不可访问，必须显式写规则，比如用<directory></directory>+Require all denied - 端口号本身不携带路径过滤能力，它只是 TCP 层的分发开关
用 <directory></directory> 配合路径精确匹配来排除目录
最可靠的方式是在对应 <virtualhost></virtualhost> 内部，或在主配置中，用 <directory></directory> 块锁定具体物理路径并拒绝访问。注意路径必须是绝对路径，且需与 DocumentRoot 一致或为其子集。
例如，在 httpd-vhosts.conf 的 <virtualhost></virtualhost> 里添加：
<directory>
Require all denied
</directory>
关键点：
- 路径中不能用通配符（如
*private*），Apache 不支持 glob 式<directory></directory>匹配 - 若要排除多个目录，每个都得单独写一个
<directory></directory>块 - Windows 下路径分隔符用正斜杠
/或双反斜杠\都可以，但单反斜杠会出错 - 如果目录名含空格，整个路径必须用英文双引号包裹
避免踩 Require all denied 被全局覆盖的坑
XAMPP 默认的根目录权限配置（<directory></directory>）常为 Require all denied，这会导致所有子目录继承拒绝行为，即使你后面写了 Require all granted 也可能因顺序/作用域失效。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
正确做法是：在你的站点 <directory></directory> 块里明确放行，再单独封禁子目录：
<directory>
Require all granted
Options FollowSymLinks
</directory><p><directory>
Require all denied
</directory></p>
常见错误现象：
- 浏览器返回
403 Forbidden，但日志里没报具体路径——大概率是父级<directory></directory>的Require all denied没被覆盖 - 改了
httpd-vhosts.conf却没生效——忘记在httpd.conf中取消注释Include conf/extra/httpd-vhosts.conf - 用
AllowOverride All但 .htaccess 不起作用——检查是否漏了Options FollowSymLinks，否则 Apache 会忽略重写规则
替代方案：用 Alias 或重写规则做逻辑排除
如果目标是“让某目录存在但不通过 HTTP 访问”，更干净的做法是不把它放在 DocumentRoot 下，而是用 Alias 显式映射，或用 RewriteRule 拦截请求：
Alias /private "D:/projects/site-a/private"
<directory>
Require all denied
</directory>
或者用重写（需启用 mod_rewrite）：
RewriteEngine On RewriteRule ^/private(/.*)?$ - [F,L]
这种写法更灵活，适合按 URL 路径模式排除（比如所有 /backup-*），但要注意：
-
[F]返回 403，[G]是 410，别混用 - 重写规则在
<virtualhost></virtualhost>内写才对当前端口生效；写在主配置里会影响所有端口 - 路径匹配基于 URI，不是文件系统路径，所以
^/private能匹配http://localhost:8081/private/file.txt
真正容易被忽略的是：Apache 的权限模型是“白名单优先”，没明确 granted 的路径，哪怕物理上存在，也会被默认 deny。端口配置只是路由入口，目录访问控制永远得靠 <directory></directory> 或重写规则落地。
