.htaccess配置异常：REST API请求转发失效及子目录文件未返回403错误

看起来你在配置REST API的.htaccess时遇到了两个核心问题——API请求转发突然失效，以及子目录里的现有文件能直接访问而没有返回预期的403。咱们一步步拆解问题，然后给出修正方案：

问题根源分析 #

1. API转发失效：你最后那条无条件的403规则看似是兜底，但实际上Apache在执行内部转发（比如把/json转到RestController.php）后，会重新触发规则匹配流程，导致后续的404/403规则把API请求给拦截了。
2. 子目录文件可访问：Apache默认会直接返回存在的文件/目录，不会走RewriteRule逻辑，所以你的403规则根本没机会拦截这些请求，哪怕是动态创建的子目录里的文件。

修正后的完整配置 #

下面是调整后的.htaccess，我会逐行解释关键修改：

Options -Indexes

RewriteEngine On

# 保留HTTP_AUTHORIZATION头，用于身份验证场景
RewriteRule ^ - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

# 首先允许访问RestController.php本身（否则API转发过去也会被403拦截）
RewriteRule ^RestController.php$ - [L]

# REST API转发规则 - 优先级最高，匹配后直接终止后续规则
RewriteRule ^json$ RestController.php?key=json [L,NC,QSA]
RewriteRule ^file/(.*)$ RestController.php?key=file&id=$1 [L,NC,QSA]
RewriteRule ^actions$ RestController.php?key=actions&id=none [L,NC,QSA]
RewriteRule ^actions/(.*)$ RestController.php?key=actions&id=$1 [L,NC,QSA]

# 拦截所有存在的文件/目录（根目录、子目录全覆盖），返回403
RewriteCond %{REQUEST_FILENAME} -f [OR]
RewriteCond %{REQUEST_FILENAME} -d
RewriteRule ^ - [R=403,L]

# 兜底处理：所有不存在的请求返回404
RewriteRule ^ - [R=404,L]

关键修改点说明 #

• 新增RestController.php放行规则：API转发最终会指向这个文件，如果不单独允许，后面的403规则会把它也拦截，导致API完全失效。
• 规则顺序调整：优先处理API转发，再拦截存在的文件/目录，最后处理不存在的请求。这样保证合法API请求不会被后续规则干扰。
• 全量拦截存在资源：用[OR]条件同时匹配存在的文件和目录，不管是根目录还是动态创建的子目录，所有未被API规则覆盖的资源都会返回403，完美解决你动态子目录的需求。
• 简化404判断：前面已经处理了所有存在的资源，剩下的自然都是不存在的请求，直接返回404即可。

验证场景 #

• 访问API路径（如/json、/file/123）：正常转发到RestController.php
• 访问根目录存在文件（如/test.pdf）：返回403
• 访问子目录存在文件（如/subdir/existing.pdf）：返回403
• 访问不存在的路径（如/fake/path）：返回404

备注：内容来源于stack exchange，提问作者traxx2012