如何在Apache 2.2的httpd.conf中匹配请求参数并拦截恶意请求返回404

Alright, let's tackle your Apache 2.2 configuration needs step by step. Here's how you can enforce strict query string validation and apply it to specific directories:

第一步：确保mod_rewrite模块已启用 #

首先，打开你的httpd.conf，确认已经加载了mod_rewrite模块——如果没加的话，先在模块加载区域添加这一行：

LoadModule rewrite_module modules/mod_rewrite.so

第二步：全局配置请求参数过滤规则 #

如果要对整个服务器生效，在httpd.conf的全局区域（所有VirtualHost或Directory块之外）添加以下规则：

RewriteEngine On
# 检查查询字符串是否包含非法字符（非字母、数字、&、=）
RewriteCond %{QUERY_STRING} [^a-zA-Z0-9&=]
# 匹配到非法字符时返回404，停止后续处理
RewriteRule ^ - [R=404,L]

规则细节解释： #

• RewriteCond %{QUERY_STRING} [^a-zA-Z0-9&=]：这个条件会检查URL中?之后的参数部分，只要存在任何不在a-z、A-Z、0-9、&、=范围内的字符，就触发后续规则。
• RewriteRule ^ - [R=404,L]：^匹配任何请求路径，-表示不修改URL，R=404指定返回404状态码，L（Last）告诉Apache停止处理后续重写规则，直接返回响应。

这样一来，你提到的包含;、/、%等恶意字符的URL会被拦截并返回404，而仅包含合法字符的参数URL会正常处理。

第三步：针对特定目录配置规则 #

如果只需要对某个特定目录（比如folder/scripts/）生效，把规则放到对应的<Directory>块里即可，无需全局配置：

<Directory "/absolute/path/to/your/folder/scripts">
    # 启用重写引擎
    RewriteEngine On
    # 同样的参数过滤规则
    RewriteCond %{QUERY_STRING} [^a-zA-Z0-9&=]
    RewriteRule ^ - [R=404,L]
    
    # 可添加该目录的其他配置，比如权限、脚本运行规则等
    Options FollowSymLinks
    AllowOverride None
    Require all granted
</Directory>

注意事项： #

• 替换/absolute/path/to/your/folder/scripts为服务器上的实际目录绝对路径。
• 若全局已启用RewriteEngine On，Directory块中重复声明也不会有问题，Apache会自动处理。
• 如果你习惯用.htaccess管理目录规则，需要在对应的<Directory>块中设置AllowOverride FileInfo，但直接在httpd.conf的<Directory>里配置会更高效、更易维护。

最后，配置完成后记得重启Apache服务让更改生效：

# 根据你的操作系统选择对应命令
service httpd restart
# 或者
apachectl restart

内容的提问来源于stack exchange，提问作者Developer