Apache2配置：限制站点访问且不开放前端控制器index.php

问题根源 #

Apache的<Location>指令基于请求的原始URI匹配，但当URL重写（RewriteRule）将请求内部转发到index.php后，Apache会重新对内部URI（即/index.php）执行访问控制检查。这就导致：

• 你配置的<Location "/api/some-api/v1.0/">规则只对原始请求URI生效，重写后不再匹配
• 必须开放/index.php的访问权限才能让重写后的请求通过，但这会导致所有人都能直接访问index.php，存在安全隐患

Nginx的try_files机制不同：内部重定向后不会重新触发访问控制检查，原始请求的location规则已经验证通过，因此不会出现类似问题。

正确配置方案 #

方案一：用环境变量结合目录级访问控制（推荐） #

将访问控制逻辑放到<Directory "/var/www/laravel-app/current/public">块内，通过SetEnvIf根据原始请求URI标记允许访问的路径，避免内部重写后的规则冲突：

<Directory "/var/www/laravel-app/current/public">
    AllowOverride None
    Options -Indexes -MultiViews

    # 标记允许开放的API路径
    SetEnvIf Request_URI ^/api/some-api/v1.0/ allow_access=1

    # 访问控制规则：允许指定IP或标记为开放的路径
    <RequireAny>
        Require ip 1.2.3.4
        Require ip 5.6.7.8
        Require env allow_access
    </RequireAny>

    RewriteEngine On

    # Handle Authorization Header
    RewriteCond %{HTTP:Authorization} .
    RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

    # Redirect Trailing Slashes If Not A Folder...
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_URI} (.+)/$
    RewriteRule ^ %1 [L,R=301]

    # Send Requests To Front Controller...
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^ index.php [L]
</Directory>

<FilesMatch \.php$>
  SetHandler "proxy:unix:/run/php/php8.2-fpm.sock|fcgi://localhost"
</FilesMatch>

效果：

• 指定IP可以访问所有路径（包括直接访问index.php）
• 所有人可以访问/api/some-api/v1.0/及其子路径
• 非指定IP访问其他路径（包括直接访问index.php）会被拒绝

方案二：用Rewrite规则直接拦截非法请求 #

通过RewriteCond在重写前就拦截不符合条件的请求，无需依赖Require指令：

<Directory "/var/www/laravel-app/current/public">
    AllowOverride None
    Options -Indexes -MultiViews

    RewriteEngine On

    # 拦截非指定IP且非开放API的请求，返回403
    RewriteCond %{REMOTE_ADDR} !^1\.2\.3\.4$
    RewriteCond %{REMOTE_ADDR} !^5\.6\.7\.8$
    RewriteCond %{REQUEST_URI} !^/api/some-api/v1.0/
    RewriteRule ^ - [F,L]

    # Handle Authorization Header
    RewriteCond %{HTTP:Authorization} .
    RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

    # Redirect Trailing Slashes If Not A Folder...
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_URI} (.+)/$
    RewriteRule ^ %1 [L,R=301]

    # Send Requests To Front Controller...
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^ index.php [L]
</Directory>

<FilesMatch \.php$>
  SetHandler "proxy:unix:/run/php/php8.2-fpm.sock|fcgi://localhost"
</FilesMatch>

效果：

• 直接通过Rewrite规则返回403，逻辑更直接
• 同样实现指定IP全访问、API路径开放、其他路径拦截的需求

注意事项 #

• 移除所有之前添加的<Location>块，避免规则冲突
• 配置修改后记得重启Apache服务（systemctl restart apache2）

内容的提问来源于stack exchange，提问作者bob