LAMP架构（配置防盗链，目录访问控制，文件/链接访问控制）
一、配置防盗链 实例： 假如你维护一个免费的论坛网站，是可以免费发图片的，有一个国外的恶意网站，把图片发在你的网站里，且在自己的网站里放入他在你网站发图的链接，这样在他的网站里就可以直接跳转到你的网站来访问图片，这样增加了自己网站的带宽，但是没有实质意义，因为自己的用户量并没有增长，怎么限制这种行为呢，是通过限制Referer（上一次访问的网站）来实现。 修改虚拟配置文件； [root@abc 111.com]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf 增加以下内容 <Directory /data/wwwroot/111.com> （需要定义防盗链的目录） SetEnvIfNoCase Referer "http://111.com" local_ref referer白名单 SetEnvIfNoCase Referer "http://ask.apelearn.com" local_ref SetEnvIfNoCase Referer "^$" local_ref 空referer也设置白名单 <FilesMatch "\.(txt|doc|mp3|zip|rar|jpg|gif)"> 这些访问不要设置白名单 Order Allow,Deny 定义顺序，先允许白名单访问，剩下的给deny掉 Allow from env=local_ref </FilesMatch> </Directory> 检查语法错误且重新启动 [root@abc 111.com]# curl -e "http:www.qq.com/1.txt"-x127.0.0.1:80 111.com/1.png -I HTTP/1.1 403 Forbidden Date: Sun, 26 Nov 2017 08:50:30 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 Content-Type: text/html; charset=iso-8859-1 没有设置referer白名单的www.qq.com被403拒绝 [root@abc 111.com]# curl -e "http://ask.apelearn.com"-x127.0.0.1:80 111.com/1.png -I HTTP/1.1 200 OK Date: Sun, 26 Nov 2017 08:50:38 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 Last-Modified: Sun, 26 Nov 2017 07:07:52 GMT ETag: "7913-55edd71b4a200" Accept-Ranges: bytes Content-Length: 30995 Content-Type: image/png 设置了http://ask.apelearn.com白名单的被允许访问200 二、目录访问控制 访问控制目录，只有允许的源ip才能打开目录。其他的被deny 修改： [root@abc 111.com]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf <Directory /data/wwwroot/111.com/admin> Order deny,allow Deny from all Allow from 127.0.0.1 </Directory> Order 定义顺序。是先允许还是先访问，如果deny在前，则先执行下面deny开头的，如果allow在前，则执行allow开头的。例如这个配置文件写的是deny全部，如果把deny放在后面，则就算允许了127.0.0.1，后面还是会被deny掉 实验： [root@abc 111.com]# curl -x127.0.0.1:80 111.com/admin/index.php -I HTTP/1.1 200 OK Date: Sun, 26 Nov 2017 09:35:53 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 X-Powered-By: PHP/5.6.30 Content-Type: text/html; charset=UTF-8 白名单的127.0.0.1被允许访问 [root@abc 111.com]# curl -x192.168.52.100:80 111.com/admin/index.php -I HTTP/1.1 403 Forbidden Date: Sun, 26 Nov 2017 09:35:54 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 Content-Type: text/html; charset=iso-8859-1 没有白名单的192.168.52.100被deny 三、文件/链接访问控制 访问控制除了目录，还可以访问控制一个文件名/链接 修改： [root@abc 111.com]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf <Directory /data/wwwroot/111.com/> <FilesMatch admin.php(.*)> Order deny,allow Deny from all Allow from 127.0.0.1 </FilesMatch> </Directory> 加上FilesMatch admin.php(.*)，表示在/data/wwwroot/111.com/ 下匹配到的文件全部被控制访问 测试： [root@abc admin]# curl -x192.168.52.100:80 111.com/admin/index.php -I HTTP/1.1 200 OK Date: Sun, 26 Nov 2017 09:47:09 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 X-Powered-By: PHP/5.6.30 Content-Type: text/html; charset=UTF-8 之前控制目录的index.php可以访问 [root@abc admin]# curl -x192.168.52.100:80 '111.com/admin/admin.php?sada' -I HTTP/1.1 403 Forbidden Date: Sun, 26 Nov 2017 09:48:33 GMT Server: Apache/2.4.28 (Unix) PHP/5.6.30 Content-Type: text/html; charset=iso-8859-1 目录下就没有访问的文件，但是显示403权限不够，说明403和404的区别，权限不够时就没有权利匹配或查看，所以不管文件是否真实存在 本文转自 小新锐 51CTO博客，原文链接：http://blog.51cto.com/13407306/2054192，如需转载请自行联系原作者
