如何简化Apache httpd.conf中多Location节点的同源IP访问限制配置

利用Apache配置继承特性抽离公共规则 #

Apache的配置默认按作用域层级自动继承，子Location块如果没有显式修改授权规则，会完全沿用父级定义的访问控制逻辑，完全没必要在每个Location段重复粘贴相同的Order/Deny/Allow规则。

• 如果所有受限制的路径（/a、/b等）同属于一个虚拟主机或公共父路径，直接把整套公共IP规则写在对应的父级配置块下即可。比如所有受保护路径都在/app路径下，直接写：

  # 父级作用域统一配置所有受保护路径的IP规则
  <Location "/app">
      Order deny,allow
      Deny from all
      Allow from 10.0.0.0/8
      # 其余几百条放行IP全部写在这里
  </Location>
  
  # 后续新增受保护的子路径，完全不用重复写IP规则，会自动继承父级配置
  <Location "/app/a">
      # 仅写该路径独有的其他配置即可，授权规则自动生效
  </Location>
  <Location "/app/b">
      # 同上
  </Location>
  

• 如果受保护的路径分散在不同一级路径下，可以用LocationMatch批量匹配所有目标路径，在匹配块里写一遍公共IP规则，省去逐个Location重复配置的麻烦：

  <LocationMatch "^/(a|b|c|其他需要限制的路径前缀)">
      Order deny,allow
      Deny from all
      # 所有公共放行IP写在这里
  </LocationMatch>
  

注意：Apache的授权规则默认是叠加合并的，只要没有在子Location段加额外的授权规则，父级的限制会完整生效，不会因为是子路径就放开权限。

抽离IP规则到独立配置文件，用Include指令复用 #

如果受保护的路径分散，没法靠父级作用域统一继承，最适配的方式是把整套重复的IP规则拆到独立配置文件里，需要的地方直接引入即可：

1. 新建独立的白名单配置文件，比如/etc/httpd/conf/whitelist/ip-allow.conf，把原来所有重复的访问控制规则和几百条IP放行条目全部写到这个文件里：

   # ip-allow.conf 内容
   Order deny,allow
   Deny from all
   Allow from 192.168.1.0/24
   Allow from 203.0.113.15
   # 其余所有放行IP都维护在这个文件中
   

2. 原来每个Location段里的重复规则全部删掉，只需要在需要应用白名单的段里加一句Include指令即可：

   <Location /a>
       Include /etc/httpd/conf/whitelist/ip-allow.conf
   </Location>
   
   <Location /b>
       Include /etc/httpd/conf/whitelist/ip-allow.conf
   </Location>
   

这种方式的好处是后续增减放行IP时，只需要修改独立的ip-allow.conf文件，不需要逐个翻找所有Location段的配置，避免漏改。

实用优化技巧 #

• 对连续网段的IP，尽量用CIDR格式替换单IP规则，比如Allow from 10.1.0.0/16可以直接替换上百条单IP的Allow规则，大幅减少配置条目
• 如果使用Apache 2.4及以上版本，建议替换老版的Order/Allow/Deny兼容语法，改用原生的mod_authz_core提供的Require语法，规则逻辑更清晰，配置合并行为更可控，等价配置示例：

  <RequireAll>
      Require ip 10.0.0.0/8
      Require ip 203.0.113.0/24
  </RequireAll>
  

内容的提问来源于stack exchange，提问作者ZeroOut