阻止目录文件直接访问的.htaccess配置问题求助

问题根源分析 #

你之前的规则失效主要有两个原因：

1. Apache版本语法不兼容：order deny,allow是Apache 2.2的旧语法，2.4+版本已改用Require指令，旧规则在新版本服务器上不会生效。
2. 根目录.htaccess的循环规则干扰：根目录里的RewriteRule ^ ^$1 [N]会导致请求循环处理，可能跳过子目录的.htaccess规则。

修复步骤 #

1. 修正根目录的.htaccess规则 #

把根目录中导致循环的规则替换为直接终止处理的逻辑，确保子目录的.htaccess能正常生效：

<IfModule mod_rewrite.c>
<IfModule mod_negotiation.c>
    Options -MultiViews
</IfModule>

Options -Indexes

RewriteEngine On

# 若请求的是存在的文件/目录，直接返回内容，停止后续规则
RewriteCond %{REQUEST_FILENAME} -d [OR]
RewriteCond %{REQUEST_FILENAME} -f
RewriteRule ^ - [L]

RewriteCond %{REQUEST_URI} (\.\w+$) [NC]
RewriteRule ^(.*)$ public/$1

RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^ server.php

</IfModule>

2. 配置/public/media/.htaccess #

根据你的Apache版本选择对应规则：

适用于Apache 2.4+（主流服务器版本）

RewriteEngine On

# 允许本站页面引用、服务器本地调用（如PHP内部读取）
RewriteCond %{HTTP_REFERER} ^https://(www\.)?yourdomain\.com/ [NC,OR]
RewriteCond %{REMOTE_ADDR} ^127\.0\.0\.1$ [OR]
RewriteCond %{REMOTE_ADDR} ^::1$
RewriteRule ^ - [L]

# 拒绝所有其他直接访问请求
RewriteRule ^ - [F]

适用于Apache 2.2

RewriteEngine On

# 标记允许的请求
SetEnvIf Referer "^https://(www\.)?yourdomain\.com/" allow_access
SetEnvIf Remote_Addr "^127\.0\.0\.1$" allow_access
SetEnvIf Remote_Addr "^::1$" allow_access

# 执行访问控制
Order Deny,Allow
Deny from all
Allow from env=allow_access

关键注意事项 #

• 把yourdomain.com替换为你的实际域名
• 确保服务器配置中AllowOverride All已开启（针对/public目录所在的站点配置），否则.htaccess规则不会生效
• 若需要更严格的控制，可通过PHP脚本代理媒体文件请求（比如media.php?file=xxx），在脚本中验证权限后输出文件，彻底杜绝直接访问

内容的提问来源于stack exchange，提问作者eloelo530