apache本身不支持基于请求特征的自动黑名单生成，必须依赖外部模块或联动机制；核心方案有三类：一是mod_evasive配合日志解析脚本实现轻量级动态封禁，二是mod_security提供开箱即用的规则化实时拦截，三是fail2ban结合日志轮询实现高可靠、底层ip封禁。
Apache 本身不支持“基于请求特征”（比如特定 User-Agent、Referer、URL 参数、请求路径、HTTP 方法异常等）的自动黑名单生成，它没有内置的规则引擎来实时分析并封禁 IP。真正能实现动态、特征驱动的黑名单，必须靠外部模块或联动机制。核心思路是：先识别恶意请求特征 → 记录对应 IP → 触发封禁动作。下面分三类实用方案讲清楚。
用 mod_evasive + 自定义日志解析做轻量级动态封禁
mod_evasive 只按请求频率封 IP，但可以配合 Apache 日志做二次判断。关键在于让它记录可疑行为，再用脚本提取 IP 并写入封禁逻辑：
- 在 Apache 配置中开启详细日志，记录 User-Agent、Request_URI、status 等字段，例如：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %D" custom - 配置 mod_evasive 启用邮件通知：
DOSEmailNotify admin@example.com，并在该邮箱触发的脚本中解析日志，匹配如 "GET /wp-login.php"、"POST /xmlrpc.php"、"User-Agent: sqlmap" 等特征行，提取源 IP - 脚本将匹配到的 IP 追加进一个临时黑名单文件（如 /etc/apache2/blocked_by_rule.conf），内容为：
Require not ip 192.168.5.100
Require not ip 203.0.113.44/24 - 在 VirtualHost 中 Include 该文件，并用 systemctl reload apache2 热加载（无需 full restart）
用 mod_security 实现真正的请求特征识别与实时拦截
这是最接近“开箱即用”的方案。mod_security 是 Apache 的 WAF 模块，支持基于规则的请求深度检测，并可直接阻断 + 记录 IP：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 启用 mod_security 后，在规则集（如 OWASP CRS）基础上自定义规则，例如：
SecRule REQUEST_HEADERS:User-Agent "@rx sqlmap|nikto" "id:1001,deny,log,msg:'Blocked scanner UA',setvar:ip.blocked=1,expirevar:ip.blocked=3600" - 再配一条规则，对已标记的 IP 拒绝后续所有请求：
SecRule IP:BLOKED "@eq 1" "id:1002,deny,status:403,msg:'IP blocked by rule'" - 若需持久化黑名单（重启不丢失），可配合 SecAction 调用外部脚本，把 IP 写入 iptables 或 fail2ban 的 jail
- 注意：mod_security 规则调试成本较高，建议先开启 SecRuleEngine DetectionOnly 模式观察日志效果
用日志轮询 + fail2ban 构建高可靠动态封禁
这是生产环境最推荐的方式——解耦识别与封禁，稳定、可审计、支持跨服务联动：
- 在 Apache 的 ErrorLog 或 CustomLog 中输出明确的标记，例如在 .htaccess 或 mod_rewrite 中加入：
RewriteCond %{HTTP_USER_AGENT} sqlmap [NC]
RewriteRule ^ - [F,E=badbot:1]
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{badbot}e" botlog - 配置 fail2ban 的 jail.local：
[apache-badbot]
enabled = true
filter = apache-badbot
logpath = /var/log/apache2/access.log
maxretry = 1
bantime = 86400 - 编写对应 filter（/etc/fail2ban/filter.d/apache-badbot.conf），匹配日志中的 badbot=1 字段，提取 %h
- fail2ban 默认调用 iptables 封禁，比 Apache 层封禁更底层、更彻底，且不会产生 403 日志噪音
单纯靠修改 httpd.conf 或 .htaccess 写死 Require not ip，只能做静态封禁；要响应请求特征，就得让 Apache “看见”特征（mod_security）、“记录”特征（日志）、再由外部工具“决策并执行”（fail2ban/script）。三者选其一，看你的运维复杂度容忍和安全等级要求。
