apache安全加固需落实5类可验证配置快照：一、隐藏服务器指纹（servertokens prod等）；二、禁用目录浏览与危险http方法（options -indexes等）；三、收紧根目录与.htaccess权限（require all denied等）；四、限制请求强度（timeout、limitrequestbody等）；五、禁用高危模块（a2dismod autoindex等）。
Apache 安全加固不是一次性动作，而是一组可复现、可验证的配置变更集合。所谓“配置快照”，是指将关键安全项固化为明确的配置语句，并能通过命令快速检查是否生效。以下是最实用、最常被审计覆盖的 5 类核心快照配置，每项都含配置写法、验证命令和典型效果。
一、隐藏服务器指纹信息
防止攻击者通过响应头精准识别版本与模块，是加固起点。
-
配置写法（在
httpd.conf或apache2.conf中）：ServerTokens ProdServerSignature Off -
验证命令：
curl -I http://localhost | grep Server
应仅返回Server: Apache，无版本号、无模块名 - 效果：HTTP 响应头和所有错误页（404/500等）不再泄露 Apache 版本、操作系统或已加载模块。
二、禁用目录浏览与危险方法
堵住两个常见入口：自动列目录 + 非业务 HTTP 方法。
-
配置写法（在虚拟主机或全局
<directory></directory>块中）：Options -Indexes -FollowSymLinksTraceEnable Off<limitexcept get post head> Require all denied </limitexcept> -
验证命令：
访问一个空目录（如/test/）应返回 403 而非文件列表；curl -X TRACE http://localhost和curl -X PUT http://localhost均应返回 405 或 403 - 效果：杜绝目录遍历探测、符号链接越权、TRACE/XST 攻击及恶意文件上传链路。
三、收紧根目录与 .htaccess 权限
避免配置分散失控，强制最小权限原则落地。
Codex Sub Agents 1
下载
使用 OpenAI Codex CLI 处理编码任务。触发词：codex、code review、fix CI、refactor code、implement feature、coding agent、gpt-5-codex。Clawdbot 可将编码工作委托给 Codex CLI 作为子代理或直接工具。
-
配置写法（在主配置最上方或
<directory></directory>块中）：<directory></directory> Require all denied Options None AllowOverride None
对网站根目录单独放开：<directory> Require all granted Options -Indexes AllowOverride None </directory> -
验证命令：
apachectl -t && apachectl -M | grep rewrite（确认 mod_rewrite 未被意外启用）
检查.htaccess是否失效：echo "Require all denied" > /var/www/html/.htaccess，再访问页面应不受影响 - 效果：阻止任意目录下通过 .htaccess 覆盖安全策略，根路径默认拒绝，降低误配风险。
四、限制请求强度与资源消耗
抵御慢速攻击（Slowloris）、大包上传、头部膨胀等 DoS 手段。
-
配置写法（推荐放在
httpd-default.conf或主配置末尾）：Timeout 60LimitRequestBody 10485760（10MB）LimitRequestFields 50LimitRequestFieldSize 4094 -
验证命令：
grep -E "(Timeout|LimitRequest)" /etc/apache2/apache2.conf（Debian）或grep -E "(Timeout|LimitRequest)" /etc/httpd/conf/httpd.conf（RHEL） - 效果：单请求超时缩短、上传体上限设为合理值、头部字段数与长度受控，显著提升抗压能力。
五、禁用高危模块并确认加载状态
模块即攻击面。关掉不用的，就是最直接的减法防御。
-
禁用操作（以 Debian/Ubuntu 为例）：
sudo a2dismod autoindex userdir info status include cgi cgid dav
RHEL/CentOS：注释掉/etc/httpd/conf.modules.d/*.conf中对应LoadModule行 -
验证命令：
apache2ctl -M | grep -E "(autoindex|userdir|info|status|include|cgi|dav)"（应无输出）systemctl restart apache2 && systemctl status apache2（确保服务正常启动） - 效果：移除目录索引、用户主页、服务器状态页、SSI 解析、CGI 执行等高危能力，大幅压缩攻击向量。
这些配置组合起来，构成一份可备份、可比对、可一键部署的安全基线快照。每次上线前执行一次 apachectl configtest 和上述验证命令，就能确认加固是否完整生效。不复杂但容易忽略。
