如何限制用户通过URL访问public目录下的.htaccess等敏感文件？

是否允许用户访问这些文件？ #

• 绝对不能允许访问.htaccess和web.config：这两个是服务器核心配置文件，泄露后可能暴露服务器规则、路径结构甚至潜在漏洞，严重威胁站点安全。
• mix-manifest.json建议限制访问：它是Laravel Mix生成的资源映射文件，虽无直接敏感数据，但会暴露前端资源版本和映射关系，从隐私与规范角度建议拦截。

你之前的方法无效的原因 #

• Laravel路由拦截mix-manifest.json不生效：服务器会优先处理public目录下的静态文件请求，直接返回文件内容，根本不会进入Laravel路由逻辑。
• 旧Apache规则失效：你使用的order allow,deny是Apache 2.2的语法，当前绝大多数服务器为2.4及以上版本，需采用新的Require指令。

有效解决方法 #

针对Apache服务器（通过.htaccess） #

在public目录下的.htaccess文件中添加以下规则，一次性拦截所有目标文件：

# 拦截敏感配置文件和资源映射文件
<FilesMatch "^(.htaccess|web.config|mix-manifest.json)$">
    Require all denied
</FilesMatch>

添加完成后重载Apache配置：

sudo systemctl reload apache2

针对Nginx服务器 #

在站点Nginx配置文件中，找到对应root /path/to/your/laravel/public;的位置，添加以下location规则：

location ~* ^/(.htaccess|web.config|mix-manifest.json)$ {
    deny all;
    return 404;
}

添加完成后重载Nginx配置：

sudo systemctl reload nginx

验证配置是否生效 #

直接在浏览器访问your-domain.com/.htaccess、your-domain.com/web.config或your-domain.com/mix-manifest.json，若返回403或404错误，说明拦截成功。

内容的提问来源于stack exchange，提问作者Saurav Manandhar