files匹配基础文件名（如.ht*），作用于磁盘文件，支持.htaccess；location匹配url路径（如/admin），作用于请求逻辑层，不可用于文件系统控制；二者对象不同、时机不同、不可混用。

files 管文件名，location 管 url 路径 —— 二者作用对象完全不同，混用会导致规则失效或越权访问。

Files：只看文件名，不认路径

匹配的是请求最终解析出的**基础文件名（basename）**，与文件在磁盘上的位置无关。例如 <files></files> 会拦截 /var/www/.htaccess、/uploads/.htpasswd、/api/.htconfig 所有以 .ht 开头的文件，不管它在哪。

• 支持通配符 * 和 ?，但不支持正则表达式
• 可在 .htaccess 中使用，适合用户可自主管理文件的环境
• 能嵌套在 <directory></directory> 内，实现“某目录下某类文件”的细粒度控制
• 处理时机在 <directory></directory> 和 .htaccess 之后、<location></location> 之前

Location：只看 URL，不碰文件系统

匹配的是客户端请求的**URL 路径（即浏览器地址栏里看到的路径）**，和服务器上有没有对应的真实文件无关。例如 <location></location> 会作用于所有以 /admin 开头的请求，哪怕这个路径由 PHP 路由动态生成、背后根本没有 /admin/ 这个目录。

• 可用于代理、重写、API 前缀统一鉴权等场景
• 不能用于限制对真实文件系统的访问（比如禁止下载 .php 文件），因为不检查文件是否存在
• 不能出现在 .htaccess 中
• 优先级低于 <files></files>，但高于 <directory></directory>

典型误用与正确选择

想禁止所有目录下的 .env 文件被下载？用 <files></files> —— 它跨路径生效，简洁可靠。

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

想给所有以 /api/v2/ 开头的请求加统一限流或 CORS 头？用 <location></location> —— 它不依赖后端是否真有该路径，只管 URL。

• 要限制上传目录中 PHP 文件执行 → 先用 <directory></directory> 定范围，再嵌套 <files></files>
• 要给 WordPress 后台统一加 IP 白名单 → 用 <location></location>，而非 <directory></directory>（可能没对应物理目录）
• 不要用 <location></location> 去防 .htaccess 泄露 —— 它匹配的是 /path/.htaccess 这个 URL，但攻击者可能构造 /.htaccess 直接访问，此时只有 <files></files> 能兜底

协同使用才真正安全

单一容器很难覆盖全部风险。生产中常见组合：

• 全局封敏感后缀：<filesmatch>Require all denied</filesmatch>
• 上传目录禁脚本：<directory>Require all granted<filesmatch>Require all denied</filesmatch></directory>
• API 接口统一鉴权：<location>Require ip 192.168.1.0/24</location>