Ubuntu 18.04中Apache 2.4配置.htaccess白名单仍返回Forbidden的问题

你之前配置不生效、全量返回403的核心原因有两个：

1. 配置位置完全不符合Apache语法规范：<Directory>配置容器仅能写在Apache主配置文件、站点虚拟主机配置、全局配置目录下，绝对不能写入.htaccess分布式配置文件。.htaccess本身就是对应所在物理目录的规则载体，在内部嵌套<Directory>容器会触发配置解析错误，Apache会直接忽略整段配置，回退到默认的严格拒绝策略，最终所有请求都返回Forbidden。
2. 语法版本不匹配Apache2.4的默认规则：你使用的Order/Deny/Allow是Apache2.2时代的旧权限语法，Apache2.4默认没有启用对应兼容模块mod_access_compat，旧语法在未开启兼容模块的场景下完全不会生效，会被判定为无有效放行规则，触发默认拒绝逻辑。

方案1：直接在站点配置中设置（性能最优，推荐） #

Apache官方更推荐将目录权限规则写在站点主配置中，避免.htaccess的额外解析开销：

• 打开对应站点的配置文件，默认路径为/etc/apache2/sites-enabled/000-default.conf
• 在站点对应的<VirtualHost>段内，写入适配Apache2.4原生语法的白名单规则：

<Directory "/var/www/html">
    # 按需设置是否允许目录下的.htaccess生效，不需要可设为None提升性能
    AllowOverride None
    # 目录下默认所有请求全部拒绝
    Require all denied
    # 仅为白名单内的文件开放访问权限，多个文件名用空格分隔即可
    <Files "index.html about.html contact.html">
        Require all granted
    </Files>
</Directory>

方案2：通过.htaccess实现（需要分布式改配置的场景使用） #

如果必须依赖.htaccess做配置，不要在文件内嵌套<Directory>容器，直接写对应目录的规则即可，对应.htaccess文件的正确内容为：

# 所在目录默认全量拒绝访问
Require all denied
# 单独对白名单文件放行
<Files "index.html about.html contact.html">
    Require all granted
</Files>

• 执行sudo a2enmod authz_core开启2.4版本权限控制的核心模块，确保规则能被正常解析
• 执行sudo apache2ctl configtest校验配置语法，看到输出Syntax OK后再执行sudo systemctl restart apache2重启服务
• 确认站点目录的AllowOverride配置没有完全禁用.htaccess（如果用方案2的话），否则.htaccess文件会被Apache直接忽略
• 检查系统层面的文件权限：确保Apache运行用户www-data对站点目录有可执行权限，对白名单文件有可读权限，避免系统权限不足触发403

注意：Apache2.4中不要将旧版Order/Deny/Allow语法和新版Require语法混写，两类规则的优先级冲突会直接导致配置解析失败。

内容的提问来源于stack exchange，提问作者Paweł Zając