1. 项目背景与需求解析在Web服务器运维工作中我们经常需要限制对某些敏感目录的访问。比如.git目录它包含版本控制系统的元数据如果被公开访问可能导致源代码泄露等安全隐患。Apache作为最流行的Web服务器之一提供了多种目录访问控制机制。我最近为一个客户部署项目时就遇到了这个问题他们的代码仓库通过Apache对外提供服务但.git目录没有做访问限制。这相当于把整个项目的开发历史、分支信息甚至数据库配置都暴露在公网上。通过以下方案我们实现了全局禁止访问.git目录的需求。2. Apache目录访问控制方案对比2.1 主流实现方式分析Apache中限制目录访问主要有三种方式.htaccess文件在目标目录下放置配置文件优点配置灵活目录级控制缺点需要目录写入权限性能开销大Directory指令在主配置文件中设置优点全局生效性能好缺点需要修改主配置重启服务FilesMatch指令基于URL模式匹配优点可以匹配复杂路径模式缺点正则表达式需要一定学习成本对于.git目录这种需要全局禁止访问的场景Directory指令是最合适的选择。它不仅性能最优而且可以确保所有虚拟主机都生效。2.2 方案选择依据我们选择使用Directory指令主要基于以下考虑.git目录通常位于项目根目录路径固定需要确保所有虚拟主机都生效生产环境对性能敏感配置需要集中管理3. 具体配置实现3.1 主配置文件修改在Apache的主配置文件(通常是httpd.conf或apache2.conf)中添加以下内容DirectoryMatch /\.git Order allow,deny Deny from all Require all denied /DirectoryMatch这个配置同时兼容Apache 2.2和2.4版本Order allow,denyDeny from all适用于2.2版本Require all denied适用于2.4版本3.2 配置说明与参数解析DirectoryMatch指令使用正则表达式匹配路径/\.git会匹配所有包含/.git的路径比简单的Directory指令更灵活访问控制指令Order allow,deny设置规则处理顺序Deny from all拒绝所有来源的访问Require all deniedApache 2.4的拒绝语法作用范围会应用到所有虚拟主机包括别名路径(Alias)中的.git目录覆盖任何.htaccess中的设置3.3 配置验证与测试配置完成后需要执行以下验证步骤检查配置语法apachectl configtest重新加载配置systemctl reload apache2 # Debian/Ubuntu # 或 systemctl reload httpd # RHEL/CentOS测试访问curl -I http://yoursite/.git/应该返回403 Forbidden状态码4. 高级配置与优化4.1 扩展保护其他敏感目录同样的方法可以保护其他敏感目录DirectoryMatch (/\.git|/\.svn|/\.env) Require all denied /DirectoryMatch4.2 自定义错误页面可以配置更有好的错误提示ErrorDocument 403 Access to version control directories is not allowed4.3 日志监控建议在日志中监控相关访问尝试SetEnvIf Request_URI \.git git_access CustomLog logs/git_access.log combined envgit_access5. 常见问题与解决方案5.1 配置不生效的可能原因配置位置错误确保配置在主配置文件中不要在.htaccess中设置正则表达式问题确保路径匹配正确可以先用简单的Directory指令测试缓存问题清除浏览器缓存测试时使用curl等工具5.2 性能优化建议将多个DirectoryMatch合并DirectoryMatch (/\.git|/\.svn) Require all denied /DirectoryMatch避免在.htaccess中使用类似规则会带来额外的文件I/O开销对于大型站点考虑使用mod_rewriteRewriteRule ^(.*/)?\.git/ - [F,L]5.3 特殊场景处理开发环境例外IfDefine !PRODUCTION DirectoryMatch /\.git Require all granted /DirectoryMatch /IfDefine启动时添加-PRODUCTION参数区分环境需要部分访问权限DirectoryMatch /\.git Require ip 192.168.1.0/24 /DirectoryMatch6. 安全加固建议除了禁止.git目录访问外还建议禁用目录列表Options -Indexes限制配置文件访问FilesMatch (\.htaccess|\.env) Require all denied /FilesMatch定期扫描项目目录find /var/www -type d -name .git -exec ls -ld {} \;监控异常访问tail -f /var/log/apache2/access.log | grep \.git7. 实际案例分享最近处理的一个客户案例他们的电商网站源代码通过.git目录被完整下载导致数据库凭证泄露。攻击者利用这些信息进行了数据窃取。我们通过以下步骤解决了问题紧急添加.git目录限制轮换所有数据库凭证设置文件完整性监控添加WAF规则拦截.git访问这个案例让我深刻体会到即使是看似小的配置疏忽也可能导致严重的安全问题。现在我在部署任何项目时都会把目录访问控制作为标准检查项。