怎么设置 Apache 监控接口的访问白名单-Apache-PHP中文网

apache监控接口需严格限制访问，应通过location块结合require all denied和多个require ip指令在入口层实现ip白名单，必须启用mod_status、mod_authz_core等模块，并在前端有代理时配置mod_remoteip还原真实ip。

怎么设置 apache 监控接口的访问白名单

Apache 监控接口（如 /status、/server-status 或自定义的健康检查路径）通常暴露服务器运行状态，必须严格限制访问。设置白名单的核心是在入口层拦截非授权请求，不依赖后端逻辑，且需适配 Apache 2.4+ 的现代授权模型。

明确监控路径并启用必要模块

先确认你要保护的具体路径，例如：

内置状态页：/server-status（需 mod_status）
自定义健康检查：/healthz 或 /monitor
确保以下模块已启用：
mod_status（对 /server-status）
mod_proxy（若监控接口由后端提供，如 Prometheus exporter）
mod_authz_core（必需，提供 Require 指令）

可通过命令验证：

httpd -M | grep -E "(status|proxy|authz_core)"

在 Location 块中配置 IP 白名单

将规则写在 <location></location> 容器内，路径精确匹配，默认拒绝 + 显式放行：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

<location>
    SetHandler server-status
    Require all denied
    Require ip 192.168.10.0/24
    Require ip 10.5.1.100
    Require ip 127.0.0.1
    Require ip ::1
</location>

说明：

Require all denied 是兜底策略，必不可少；漏掉会导致默认放行
多个 Require ip 行为“或”关系，满足任一即可通过
本地调试务必包含 127.0.0.1 和 ::1，否则本机 curl 会 403
若监控接口走反向代理（如 ProxyPass /healthz http://127.0.0.1:8080/healthz），白名单仍要放在 <location></location> 里，作用于代理前的请求源 IP

处理代理或 CDN 后的真实客户端 IP

如果前端有 Nginx、CDN 或负载均衡，Apache 收到的 RemoteAddr 是代理 IP。需还原真实 IP：

启用 mod_remoteip

在配置中添加：

RemoteIPHeader X-Forwarded-For
RemoteIPInternalProxy 192.168.1.10 10.0.0.5  # 填写你信任的代理 IP

白名单规则自动作用于还原后的 IP，无需改写 Require

验证与调试

修改后执行语法检查：apachectl configtest → 输出 “Syntax OK” 才 reload
临时开启详细日志定位问题：
```
LogLevel authz_core:debug
```
查看 /var/log/apache2/error.log 中每条请求的匹配过程
测试时用 curl --interface 指定源 IP，比改 hosts 更可靠：
```
curl -v --interface 192.168.10.50 http://your-server/server-status
```

不复杂但容易忽略。