directory容器不能嵌套，因其是路径作用域容器而非逻辑分组标签；apache按最长路径匹配原则选择生效块，需用平行独立的directory块实现权限覆盖，并可配合filesmatch进行文件级控制。

Directory 容器不能嵌套——这是 Apache 配置中一个关键但常被误解的点。你无法在 `` 块内部再写一个 `` 块，Apache 会直接报语法错误（`Invalid command '', perhaps misspelled or defined by a module not included in the server configuration`）。

为什么不能嵌套？

Apache 的 `` 是**路径作用域容器**，不是逻辑分组标签。它的设计目标是“为某一路由路径绑定一组指令”，而非构建树状结构。配置解析器按顺序扫描所有 `` 段，根据**路径匹配长度优先原则**（最长路径匹配）决定哪一段生效，不需要、也不支持嵌套语法。

例如，以下写法是非法的：

Linux Desktop Control

Linux 桌面自动化与控制。适用于以下场景：（1）截取屏幕或窗口的截图，（2）控制鼠标和键盘，（3）管理窗口，（4……

下载

  Require all granted
  
    Require all denied
  

正确替代方案：独立声明 + 精确路径

要实现“主目录开放、子目录收紧”的效果，应单独定义两个平行的 `` 块，用更具体的路径覆盖通用路径：

• 先定义宽泛路径（如 `/var/www/site`），设基础权限
• 再定义更长、更精确的子路径（如 `/var/www/site/uploads`），其指令会自动覆盖前者
• Apache 总是选取**路径字符串最长的那个 `` 块**来应用

  Options FollowSymLinks
  AllowOverride All
  Require all granted



  Options -Indexes
  AllowOverride None
  Require all denied
  
    Require all denied
  

配合 Files/FilesMatch 实现文件级控制

当需要限制特定类型文件（如禁止执行脚本），推荐在 `` 内部使用 ``，它合法且高效：

• `` 可出现在 `` 内，也可独立存在
• 正则匹配文件名（不依赖路径），适合统一拦截 `.ht*`、`.php` 等敏感后缀
• 示例：` Require all denied ` 会拒绝所有 `.php` 文件访问

注意事项

确保路径与 `DocumentRoot` 严格一致，区分大小写；避免符号链接路径歧义；修改后务必运行 `apachectl -t` 验证语法，并用 `systemctl reload httpd` 生效。多目录块之间无继承关系，全靠路径长度和配置顺序决定最终行为。