服务器目录浏览访问控制的核心是先决定是否开启目录浏览，再限制谁能看、能看到什么、以什么方式看：nginx需显式启用autoindex并配合ip限制与认证；apache通过options indexes控制，结合require和files屏蔽实现精细权限；iis需手动启用目录浏览并绑定ip安全模块白名单；ftp则应禁用匿名登录，强制认证并结合ntfs acl管控。
一、Nginx 开启并限制目录浏览
默认关闭目录浏览，需显式启用并加防护：
-
启用浏览：在
location块中添加autoindex on;，仅对该路径生效 -
防止中文乱码：加上
charset utf-8, gbk; -
优化显示：用
autoindex_localtime on;显示本地时间，autoindex_exact_size off;用 KB/MB 显示大小 -
IP 限制：在同个
location内用allow 192.168.1.100;+deny all;，只放行指定地址 -
密码保护：搭配
auth_basic "Restricted"; auth_basic_user_file /etc/nginx/.htpasswd;实现基础认证
二、Apache 控制目录列表与访问权限
目录浏览由 Options Indexes 控制，禁用即关闭列表；配合访问控制更安全：
小皮面板（phpStudy for Linux 服务器运维管理面板）
下载
针对Linux系统，phpStudy团队推出全网首家linux docker容器面板，只要一个命令，快速安装面板，在面板里可以自行选择软件版本，可以方便的进行安全配置，就算没有Linux基础也可以快速搭建和管理PHP服务器环境！
-
关闭全局目录浏览：确保主配置或虚拟主机中没有
Options +Indexes，或显式写Options -Indexes -
按目录精细控制：用
<directory></directory>块，内设Require ip 10.0.0.0/24或Require valid-user -
屏蔽敏感文件：用
<files> Require all denied </files>防止配置文件被下载 - 通过 .htaccess 生效（需 AllowOverride All）：适合无权改主配置的环境，但性能略低
三、IIS 启用目录浏览并绑定 IP 限制
IIS 中目录浏览是独立功能，必须手动开启，再叠加网络层限制：
- 启用浏览：在 IIS 管理器中选站点 → “目录浏览” → 右侧“启用”
- 安装 IP 限制模块：打开“启用或关闭 Windows 功能” → 进入“IIS → 安全” → 勾选“IP 安全”
- 设置白名单：同一界面下打开“IP 地址和域限制” → “添加允许条目”，填具体 IP 或网段（如 172.16.0.0/16）
- 拒绝未匹配请求：默认策略设为“拒绝”，确保不在白名单的访问直接 403
四、FTP 目录浏览的安全要点
FTP 的目录浏览由 <directorybrowse></directorybrowse> 元素控制，但重点不在“开不开”，而在“谁登录后能看”：
- 仅限已认证用户：FTP 服务本身不支持匿名目录浏览的细粒度 IP 控制，应禁用匿名登录，强制用户名密码
-
样式适配客户端：设
style="Unix"或"Dos"，避免图形客户端解析失败 - 结合系统 ACL：Windows 上为 FTP 根目录设置 NTFS 权限，比 FTP 配置更底层可靠
- 不暴露路径结构：避免将系统盘根目录或用户主目录设为 FTP 根，防止路径遍历风险
