apache限制目录ip访问需据版本选require（2.4+推荐）或order/allow/deny（2.2及更早），核心是路径匹配准确、规则逻辑清晰、配置位置正确；require须首行写require all denied，order则需明确deny,allow优先级。

apache 通过 <directory></directory> 限制特定目录的 ip 访问，核心是用 require 指令（2.4+）或 order/allow/deny（2.2 及更早），关键在**路径匹配准确、规则逻辑清晰、配置位置正确**。当前生产环境强烈推荐使用 require 方式。

Apache 2.4+：用 Require 实现白名单（推荐）

必须显式拒绝全部，再逐条放行可信 IP 或网段。多条 Require ip 是“或”关系，满足任一即允许。

• Require all denied 必须写在第一行，否则未匹配请求可能继承上级策略，导致意外放行
• 支持单 IP（192.168.5.22）、CIDR 网段（10.0.0.0/8）、IPv6（2001:db8::/32）
• 示例：只允许本地和公司内网访问 /var/www/html/admin

  Require all denied
  Require ip 127.0.0.1
  Require ip 192.168.10.0/24

Apache 2.2 及更早：用 Order + Deny/Allow（仅限遗留系统）

该语法已废弃，仅用于 CentOS 6 等老旧环境。重点看 Order 决定优先级：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• Order Deny,Allow：先执行所有 Deny，再叠加 Allow，Allow 优先级更高
• Order Allow,Deny：先执行 Allow，再叠加 Deny，Deny 优先级更高
• 白名单典型写法：Order Deny,Allow + Deny from all + 多个 Allow from xxx

  Order Deny,Allow
  Deny from all
  Allow from 127.0.0.1
  Allow from 192.168.5.22

必须检查的配套设置

光写规则不够，以下任一缺失都可能导致失效：

• AllowOverride None：确保 .htaccess 无法绕过该目录的访问控制
• 路径大小写与实际文件系统一致，末尾斜杠不影响匹配
• 若网站前置 CDN 或负载均衡，需启用 mod_remoteip 并配置 RemoteIPHeader X-Forwarded-For，否则 Require ip 判的是 CDN 节点 IP
• 禁止混用新旧语法——Order/Allow/Deny 和 Require 同时出现会触发 500 错误

验证是否生效

改完配置后不能只靠浏览器点一点，要分场景测试：

• 从白名单 IP 访问目标目录 → 应正常返回页面或资源
• 从非白名单 IP 访问 → HTTP 状态码应为 403 Forbidden
• 检查 Apache 错误日志（error_log）是否有 "client denied by server configuration" 提示
• 运行 sudo apachectl configtest 确保语法无误，再重启服务（systemctl restart httpd）