必须禁用XAMPP中非必需模块以堵住基础漏洞：mod_status、mod_info、mod_autoindex、mod_userdir、mod_include、多余PHP模块及mod_cgi/mod_cgid；操作需注释httpd.conf中对应LoadModule行，验证语法并重启Apache。
XAMPP 默认启用一堆模块，其中不少根本用不上，反而成了攻击入口——禁用它们不是“锦上添花”，而是堵住最基础的漏洞面。
哪些模块必须关？先查再动
别凭感觉删，先看当前启用了啥：httpd.exe -M（Windows 下进 C:\xampp\apache\bin 目录执行）。重点关注以下模块，只要没明确业务需求，一律注释掉对应 LoadModule 行：
-
mod_status：暴露/server-status，能直接看到线程数、请求处理状态、甚至加载模块列表 -
mod_info：开放/server-info，返回完整配置树、编译参数、虚拟主机详情 -
mod_autoindex：开启目录浏览，Options Indexes一开，没index.html就列满文件名 -
mod_userdir：允许访问~username路径，可能泄露用户家目录结构 -
mod_include（SSI）：若没用服务器端包含，留着等于开放远程代码执行温床
操作位置统一在 C:\xampp\apache\conf\httpd.conf，找到类似 LoadModule status_module modules/mod_status.so 这样的行，在前面加 # 注释即可。
为什么不能只靠 .htaccess 或 Location 拦截？
mod_status 和 mod_info 是 Apache 内置 handler，一旦模块加载，哪怕你把 SetHandler 注释掉，攻击者仍可能通过其他路径（比如带 query string 的变体）触发。最干净的做法就是不让模块加载——进程里根本没这段代码，自然无法响应。
常见错误：
- 只改了
httpd-vhosts.conf里的Location块，但主配置里LoadModule status_module还开着 - 以为加了
Require local就安全，结果忘了 Windows 下 Apache 默认监听0.0.0.0:80，local只拦 localhost，不拦本机其他网卡或虚拟机桥接 IP
mod_autoindex 关闭后要检查 Options 设置
光禁用模块还不够，得确认目录级配置也关了索引功能。在 httpd.conf 或项目对应的
Options Indexes FollowSymLinks
改成：
Options FollowSymLinks
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
或者更稳妥写法：
Options -Indexes +FollowSymLinks
注意：-Indexes 前的减号是关键，表示显式关闭；FollowSymLinks 是否保留取决于你是否用符号链接——不用就干脆去掉。
PHP 相关模块也要按需裁剪
XAMPP 默认同时加载 mod_php7.c 和 mod_php8.c（取决于版本），但你实际只用一个 PHP 版本。去 httpd.conf 找：
LoadModule php7_module modules/libphp7.soLoadModule php8_module modules/libphp8.so
只保留正在用的那个，另一个整行注释掉。多加载一个 PHP 模块，不仅浪费内存，还多一个潜在解析器漏洞面。
另外，mod_cgi 和 mod_cgid 若没跑 Perl/Shell CGI 程序，必须禁用——它们是经典的 RCE 温床，且 XAMPP 根本不推荐用 CGI。
模块禁用这事看起来简单，但容易漏掉两处：一是改错配置文件（比如编辑了备份副本或控制面板打开的缓存文件），二是改完没重启 Apache 导致配置未加载。每次操作后，务必运行 httpd.exe -t 验证语法，再用 httpd.exe -M 确认模块列表已更新——眼见为实，别信“应该生效了”。
