必须禁用indexes，这是最核心有效的防护措施；需在httpd.conf、httpd-xampp.conf及httpd-vhosts.conf中所有块内将options indexes followsymlinks改为options -indexes +followsymlinks，重启apache后验证返回403 forbidden。
关掉 Apache 默认目录列表，是 XAMPP 上线前必须做的一步——不是“可选加固”，而是防止 .env、config.php、备份文件甚至 Git 历史直接被下载的核心防线。
为什么改 Options Indexes 是最有效动作
Apache 只要看到 Indexes 这个词，且当前目录下没有 index.html 或 index.php（由 DirectoryIndex 指令定义），就会自动生成 HTML 列表返回全部文件。这不是模块没启、不是权限错，就是配置里明明白白写着让它列。
-
Options Indexes FollowSymLinks→ 必须改成Options -Indexes +FollowSymLinks（推荐）或Options FollowSymLinks（等效但语义弱） - 别写
Options None：它会一并禁掉FollowSymLinks，导致Alias、软链接、重写规则失效，PHP 脚本可能 403 - 改完不重启 Apache，等于没改；XAMPP 控制面板点 “Stop” 再 “Start”，别只点 “Restart”——有些版本重启逻辑有 bug
必须检查的三个配置位置
XAMPP 的配置分散在多个文件里，只改一处容易漏网。重点查这三处：
Apache 2.4.62
下载
PHP中文网提供Apache 2.4.62 官方 tar.gz 源码包下载，通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。
-
C:\xampp\apache\conf\httpd.conf中的<directory></directory>块（Windows）或<directory></directory>（Linux/macOS） -
C:\xampp\apache\conf\extra\httpd-xampp.conf—— 这个文件专管/phpmyadmin、/security等路径，里面常有独立的<directory></directory>，且默认带Indexes - 如果你用了虚拟主机，在
C:\xampp\apache\conf\extra\httpd-vhosts.conf里定义的每个<virtualhost></virtualhost>内部，也得套一层匹配的<directory></directory>并确认没写Indexes
.htaccess 能不能替代主配置
能，但前提是你没动过 AllowOverride。XAMPP 默认是 AllowOverride All，但一旦你为性能或安全把它改成 None 或 FileInfo，那 .htaccess 里的 Options -Indexes 就彻底失效。
- 验证方式：在目标目录放一个
.htaccess，内容仅一行Options -Indexes，然后访问该目录（确保无index.*文件）——若仍显示列表，说明AllowOverride被设为None - 不建议依赖
.htaccess做核心安全控制：它易被覆盖、易被误删、且 Apache 解析它有额外开销 - 如果必须用，记住只能写
Options -Indexes，不能写Options Indexes -Indexes，后者触发 500 错误
验证是否真生效的唯一方式
别信“看起来没列表”，得看 HTTP 状态码和响应体：
- 准备一个真实存在的空目录（如
C:\xampp\htdocs\test），删掉里面所有index.*文件 - 浏览器访问
http://localhost/test/，正确结果必须是403 Forbidden，页面文字为 “Forbidden You don't have permission to access /test/ on this server.” - 如果返回
200 OK且列出文件名，说明某处Indexes还开着——立刻用文本编辑器全局搜索整个xampp\apache\conf\目录，找Indexes关键字 - 顺手 curl 一下：
curl -I http://localhost/test/，确认响应头里没有Content-Type: text/html之外的异常字段
真正麻烦的不是改哪一行，而是 Apache 配置的继承机制让同一路径可能被多个 <directory></directory> 块作用，而最后一个匹配的才生效——所以漏掉任何一个都可能让防护形同虚设。
