apache多级权限管理需四层分层控制：系统层（chown/chmod/selinux）确保文件可读，网络层（require ip）按网段粗筛，认证层（require user/group）凭身份准入，逻辑层（requireall/requireany）组合策略实现精细分级。

在 Apache 中实现多级权限管理系统，关键不是堆砌单一规则，而是分层叠加、各管一段：系统文件权限打底，IP 网段做粗筛，用户/组认证定身份，再用逻辑组合（RequireAll/RequireAny）把它们串起来。四层不漏，才能真正支撑“多级”。

第一步：确保 Apache 能读到文件（系统层）

再精细的配置也架不住底层没权限。这步配错，后面全白搭：

• 查 Apache 运行用户：执行 ps aux | grep httpd，CentOS 通常是 apache 用户和组；
• 设目录归属：网站根目录如 /var/www/html 执行 chown -R apache:apache /var/www/html；
• 设基础权限：目录用 755（所有者可读写执行，组和其他人可读可进），HTML 文件用 644（仅所有者可写）；
• SELinux 放行（若启用）：运行 semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"，再执行 restorecon -Rv /var/www/html。

第二步：按 IP 或网段划分访问范围（网络层）

适合区分办公区、运维区、公网等大类，属于第一道过滤：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 只允许内网后台访问：Require ip 10.1.2.0/24；
• 禁止已知恶意 IP：Require not ip 192.0.2.100；
• 允许多个网段：Require ip 172.16.0.0/16 192.168.5.0/24；
• 注意：Apache 2.4+ 使用 Require 语法，默认拒绝所有，无需写 Order 指令。

第三步：按用户或组控制身份准入（认证层）

用于需要登录的区域，比如管理后台、客户专区：

• 启用模块：mod_auth_basic 通常默认加载，确认已启用；
• 建密码文件：htpasswd -c /etc/httpd/.htpasswd admin（首次创建）；
• 配认证区块：

  <directory>
      AuthType Basic
      AuthName "Admin Login"
      AuthUserFile /etc/httpd/.htpasswd
      Require user admin
  </directory>

• 按组管理更灵活：用 htpasswd -c -g /etc/httpd/.htgroup admins 建组文件，再写 Require group admins。

第四步：组合策略实现真正的“多级”（逻辑层）

单一层级只能“要么放行、要么拦住”，多级靠组合判断：

• 运维网段直连免密，其他必须登录：
  

  <requireall><br>
    Require ip 10.10.0.0/16<br>
    Require valid-user<br></requireall>

  
  → 实际是“先看是不是运维网段，再看有没有有效账号”，但需配合外部条件；更常见的是用 RequireAny 实现“满足任一即可”；
• 典型混合场景示例：
  允许公司内网任意访问，外网只允许管理员登录：
  

  <requireany><br>
    Require ip 192.168.0.0/16<br>
    <requireall><br>
      Require valid-user<br>
      Require user admin<br>
    </requireall><br></requireany>

• 注意：RequireAll 是“全满足才通过”，RequireAny 是“任一满足即通过”，二者嵌套可表达复杂业务逻辑。

不复杂，但容易忽略系统层和逻辑层的衔接。配完记得 reload httpd 并测试不同来源的访问效果。