如何设置XAMPP中Apache禁止访问敏感目录以保护配置信息？

本文共计918个文字，预计阅读时间需要4分钟。

在XAMPP中遇到403 Forbidden错误，这通常与权限配置有关，而不是路径错误、端口占用或PHP故障。核心问题通常是：

修改 httpd-vhosts.conf 中的 <Directory> 权限

虚拟主机只配 DocumentRoot 不够，Apache 2.4+ 强制要求显式声明该路径的访问控制。漏掉或写错 <Directory "你的路径">，就会继承默认的 Require all denied。

• <Directory> 的路径必须和 DocumentRoot 完全一致（注意盘符大小写、斜杠方向、末尾不加反斜杠）
• 块内至少加 Require all granted；建议顺手补上 AllowOverride All（否则 .htaccess 不生效）和 Options FollowSymLinks
• Windows 下路径推荐用正斜杠 "G:/wwwxuexi/php" 或双反斜杠 "G:\wwwxuexi\php"，单反斜杠 "G:wwwxuexiphp" 容易被当转义字符解析出错

注释掉 httpd-xampp.conf 里的 Require local

XAMPP 自带的 httpd-xampp.conf 文件里有一道“本地锁”，默认把 /phpmyadmin、/xampp、/security 等路径限制在 127.0.0.1 和 ::1，哪怕你在同一台机器用 localhost 访问，也可能触发 403。

• 打开 xampppacheconfextrahttpd-xampp.conf
• 找到以 <LocationMatch "^/(?i:(?:xampp|security|licenses|phpmyadmin|))"> 开头的区块
• 把里面的 Require local 行前面加 # 注释掉（别删，留着备用）
• 如果还想保留一定限制，可换成 Require ip 127.0.0.1 ::1 192.168.1 这类宽松规则

检查 httpd.conf 顶层 <Directory> 是否覆盖了你的路径

Apache 配置有继承关系。如果 httpd.conf 里存在类似 <Directory "/xampp/htdocs"> 的块，且里面写了 Require all denied，它会压制你后续所有虚拟主机的设置。

• 全局搜索 httpd.conf，定位到对应路径的 <Directory> 块
• 确认其内部是否含 Require all granted；若没有，直接加上，或把整块复制到 httpd-vhosts.conf 并调整路径
• 特别注意：<Directory "/xampp/cgi-bin"> 在 XAMPP 5.6+ 中默认禁用全部访问，如果你项目放在 cgi-bin 下，必须单独放开

禁用目录列表（防止暴露文件结构）

Apache 默认在没找到 index.html 时会列出整个目录内容，这是严重安全隐患——数据库配置、源码备份、日志文件都可能被直接看到。

• 打开 httpd.conf，搜索 Options Indexes
• 找到类似 Options Indexes FollowSymLinks Includes ExecCGI 的行，删掉 Indexes，改成 Options FollowSymLinks Includes ExecCGI
• 如果想彻底关闭所有目录浏览，可改用 Options None（但会同时禁用符号链接等功能，慎用）
• 改完必须重启 Apache，否则不生效

最容易被忽略的是文件系统权限本身：Apache 进程（Windows 上是 SYSTEM 或当前用户）必须对目录及其所有父级目录有「遍历」权限，对文件有「读取」权限。路径本身可读，但中间某一级父目录没给权限，照样 403。