apache用户权限管理需分层控制：先配置系统文件权限（chown apache:apache、755/644）和selinux（semanage+restorecon），再通过require ip实现ip分级，require user/group实现认证分级，最后用requireall/requireany组合策略。

在 Apache 中管理不同访问级别的用户权限，核心是分层控制：先确保系统级文件权限和 SELinux 策略不拦路，再通过配置指令实现网络层（IP）、认证层（用户/组）和逻辑组合（混合策略）的精细分级。不是靠单一设置，而是多层叠加、各司其职。

基础系统权限必须理清

Apache 进程能否读取文件，取决于 Linux 文件权限和 SELinux 上下文，这两步没配对，后续所有访问控制都无效：

• 确认 Apache 运行用户（CentOS 默认是 apache 用户和组），用 ps aux | grep httpd 查看；
• 网站目录如 /var/www/html 应归属 apache:apache，命令：chown -R apache:apache /var/www/html；
• 目录权限设为 755（可遍历），HTML 文件设为 644（仅读取），脚本类文件如 PHP 不需额外执行位；
• SELinux 必须放行：运行 semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"，再执行 restorecon -Rv /var/www/html。

按 IP 或网段做粗粒度分级

适合内网白名单、办公区限制、或临时封禁恶意 IP：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 在 <directory></directory> 或虚拟主机配置中使用 Require ip（推荐新语法）或传统 Order / Allow / Deny；
• 只允许公司网段访问后台：Require ip 10.20.30.0/24；
• 禁止某扫描器 IP：Require not ip 203.0.113.99；
• 注意：Require ip 在 Apache 2.4+ 中已替代旧指令，更简洁且默认 deny-all，无需写 Order。

按用户名/用户组做细粒度认证分级

适用于后台管理页、客户私有区域等需身份识别的场景：

• 启用 mod_auth_basic 模块（通常默认已加载）；
• 用 htpasswd 创建密码文件，例如：htpasswd -c /etc/httpd/.htpasswd admin；
• 在目录配置中加入：

  AuthType Basic
  AuthName "Admin Area"
  AuthUserFile /etc/httpd/.htpasswd
  Require user admin
  

• 若需按组管理，先用 htpasswd -c -g /etc/httpd/.htgroup admins 建组文件，再用 Require group admins。

混合策略：IP + 用户双重校验

比如“仅允许运维网段直连免密，其他所有人必须登录”——靠 Satisfy 协调（Apache 2.2）或 RequireAll/RequireAny（2.4+）：

• Apache 2.4 示例（推荐）：

  <requireall>
    Require ip 127.0.0.1 192.168.100.0/24
    Require valid-user
  </requireall>

• 这表示：必须同时满足“来自指定网段”且“已通过认证”才放行；
• 若想“任一满足即可”，改用 <requireany></requireany>；
• 别忘了配合 AllowOverride AuthConfig，否则 .htaccess 中的认证指令不生效。