apache 2.2用order deny,allow+deny from all+allow from网段实现白名单，2.4则用内嵌require all denied和require ip网段；版本错配或模块未启用会导致启动失败。
直接在 VisualSVN Server 的 Apache 配置中设置 IP 段白名单是最常用且有效的方式。关键在于区分你使用的 VisualSVN 版本对应 Apache 2.2 还是 2.4+，因为语法完全不同，配错会导致服务启动失败。
确认 Apache 版本并启用必要模块
VisualSVN Server 自带 Apache，版本取决于安装包：v3.6 及更早多为 Apache 2.2；v3.7+ 默认用 Apache 2.4。先查版本：
- 打开安装目录（如 C:\Program Files\VisualSVN Server\conf\httpd.conf）
- 搜索 LoadModule authz_host_module —— 若被注释或缺失，需手动添加一行：
LoadModule authz_host_module bin/mod_authz_host.so - 保存后重启服务测试是否能正常启动，避免后续配置因模块未加载而失效
Apache 2.2 方式：用 Order/Deny/Allow 控制
适用于旧版 VisualSVN（如 v3.5.x）。编辑 httpd.conf，找到 <directory></directory> 区块，在 RewriteEngine on 后插入：
Order Deny,AllowDeny From All-
Allow From 192.168.10.0/24（允许整个 10 段） -
Allow From 172.16.0.0/16（支持 CIDR 表示法） -
Allow From 2001:db8::/32（如需 IPv6，同样支持）
注意：不支持写成 Allow From 192.168.10 这种省略掩码的写法，必须明确子网长度，否则可能只放行单个主机。
Apache 2.4 方式：用 Require 指令替代
新版（v3.7+）必须用 <requireany></requireany> 或 <requireall></requireall> 结构。推荐在 <location></location> 块内配置，更精准控制 SVN 路径：
- 找到
<location></location>（通常在文件靠后位置） - 在其内部添加：
<requireany>
Require all denied
Require ip 192.168.20.0/24
Require ip 10.0.5.100
Require ip 2001:db8:1::/64
</requireany>
这样只有匹配这些 IP 或网段的请求才能进入 /svn 路径；其他请求直接返回 403 Forbidden。若想对某个具体仓库单独限制，可用 <location></location> 套一层。
验证与排错要点
- 修改后务必重启 VisualSVN Server 服务（不能只刷新页面）
- 从被允许的 IP 尝试 checkout；再从拒绝的 IP 尝试，应收到 403 错误而非 404（404 表示路径不对，403 才是权限拦截生效）
- 如果启动失败，查看 Windows 事件查看器 → 应用程序日志，错误信息会明确指出哪行配置非法（比如误用了
Order） - 防火墙（Windows Defender 防火墙或 iptables）是第二道防线，但建议优先用 Apache 层控制，逻辑更清晰、日志更完整
