apache虚拟主机安全可用需文件系统权限与directory指令协同：apache用户（如www-data）必须对documentroot有r-x目录权限和r文件权限，上传目录需系统写入+配置拦截脚本执行，多用户场景推荐acl，selinux启用时须匹配httpd_sys_content_t上下文。
Apache 虚拟主机要真正安全又可用，光靠配置文件里的 <directory></directory> 指令远远不够——它只管“Apache 进程能不能访问这个路径”，而底层文件系统权限（Linux 的 rwx、用户/组归属）才是决定“Apache 进程有没有资格读、写、进入那个目录”的第一道门槛。两者必须协同工作，缺一不可。
Apache 用户必须拥有对应目录的系统级读取权限
Apache 以特定系统用户身份运行（如 Debian/Ubuntu 是 www-data，CentOS/RHEL 是 apache）。如果该用户对虚拟主机的 DocumentRoot 目录没有读（r）和执行（x）权限，哪怕 <directory></directory> 里写了 Require all granted，请求也会直接返回 403 Forbidden。
- 目录需至少有
r-x（即权限数字 5 或 7），否则无法进入或列出内容 - HTML、CSS、JS 等静态文件需有读（r）权限（如 644），否则无法发送给浏览器
- 用
chown -R www-data:www-data /var/www/example.com/public_html确保归属正确 - 用
chmod 755 /var/www/example.com和chmod 644 *.html设置合理基础权限
上传目录需额外处理：系统写权限 + Apache 执行拦截
像 /uploads 这类允许用户上传文件的目录，既要让 Apache（或 PHP）能写入，又绝不能让上传的 .php 文件被解析执行——这是典型的“权限分离”场景。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 系统层面：赋予 Apache 用户对该目录的写（w）权限（如
chmod 755或更严格地750+ 组权限） - Apache 层面：在单独的
<directory></directory>块中，用<filesmatch></filesmatch>明确拒绝脚本执行 - 示例配置：
<filesmatch><br> Require all denied<br></filesmatch><br>Require all granted
多用户协作场景：避免用共享组权限“偷懒”
当 FTP 用户和 Apache 用户不同（如 ftpuser 和 www-data），简单地把两者加进同一组并设 umask 002，虽方便但不安全——组内成员可互相删除文件。
- 推荐使用 Linux ACL 实现精准授权：
setfacl -m u:ftpuser:rwx /var/www/example.com/public_html - 同时为 Apache 用户添加权限：
setfacl -m u:www-data:r-x /var/www/example.com/public_html - 设置默认 ACL，确保新建文件自动继承：
setfacl -d -m u:ftpuser:rwx /var/www/example.com/public_html - 挂载分区时需启用 acl 选项（
mount -o remount,acl /）
SELinux（仅限 RHEL/CentOS）是隐藏的第三层权限开关
在启用了 SELinux 的系统上，即使文件权限和 Apache 配置都正确，仍可能因上下文标签（context）不匹配导致 403。常见表现是日志中出现 Permission denied due to SELinux。
- 检查当前上下文：
ls -Z /var/www/example.com - 恢复标准 Web 目录上下文：
sudo restorecon -Rv /var/www/example.com - 如需自定义路径，用
semanage fcontext添加规则再restorecon - 临时调试可用
sudo setenforce 0，但生产环境不建议永久关闭
