相同referer触发Options禁止目录索引报错的性能与安全疑问

1. 此类访问对服务器性能的影响 #

• 若为每秒个位数的低频访问，基本不会产生性能损耗：你现有的安全配置已经直接拦截了请求，仅会生成一条错误日志，服务器处理开销极低。
• 若访问频率达到每秒数十次及以上，会产生额外负担：大量无效请求会占用服务器连接资源、CPU处理算力，同时错误日志体积快速膨胀会占用磁盘存储空间，极端情况可能挤占正常业务请求的处理资源。

2. referer不等于真实访问来源 #

referer是HTTP请求头的可修改字段，完全不能作为判定访问来源的依据：

• 可能是恶意攻击者故意伪造referer为binance.com，掩盖自身真实身份
• 可能是binance.com平台上被插入的恶意第三方资源链接指向了你的服务器路径，用户访问binance相关页面时自动触发了请求
• 也可能是公共爬虫爬取binance.com的历史页面时，携带了对应referer请求你的服务器
  要确认真实来源，需要查看访问日志中对应请求的源IP地址，而非依赖referer字段。

3. 拦截处理建议 #

• 若访问频率很低，可直接忽略：你的现有配置已经完全阻断了这类请求的执行，没有实际安全风险，额外添加拦截规则反而会增加服务器规则匹配开销。
• 若访问频率过高已经影响正常业务，不要仅拦截referer为binance.com的请求：referer可随意伪造，这类拦截规则完全无效。建议先统计对应请求的真实源IP段，在服务器防火墙或.htaccess文件中拉黑对应IP，也可直接添加全局规则禁止所有对wp-admin下静态资源目录的索引请求，防护效果更可靠。
• 可额外排查是否存在其他路径的同类异常访问，排除是扫描器批量探测WordPress漏洞的情况，只要你的WordPress核心、插件均为最新版本，目录权限配置正确，这类扫描请求不会产生实质安全威胁。

内容的提问来源于stack exchange，提问作者Matt