前言Apache HTTP Server下称 httpd的主配置文件里Options大概是出现频率最高、也最容易被抄错的一条指令。它控制某个目录「允许发生什么」能不能列目录、能不能跟符号链接、能不能跑 CGI、能不能做服务端包含。网上大量教程把Options Indexes FollowSymLinks当成标准模板到处复制却很少有人讲清楚这八个参数各自的确切含义、以及它们之间那条「合并规则」——这条规则让子目录里的一句话就能悄悄覆盖掉父目录的全部设置很多「配置明明写了却不生效」的问题都出在这里。先把一件事说清Options是 Apache 独有的指令nginx 里没有对应的东西。如果你是在 nginx 环境下想找「和 Options 等价」的配置那要找的是autoindex on;对应目录列举、disable_symlinks对应符号链接策略、以及location里的cgi/fastcgi配置——它们各管一摊不存在一一对应关系。本文只讲 Apache示例中的指令写法在 nginx 上完全不适用。以下示例基于 Apache httpd 2.4RHEL 9 为 httpd 2.4.57Debian 12 / Ubuntu 22.04 为 apache2 2.4.57 与 2.4.52。2.2 与 2.4 在访问控制的写法上有本质区别2.2 用Order/Allow/Deny2.4 改为Require两者不通用抄旧教程时务必注意。主配置文件位置RHEL 系为/etc/httpd/conf/httpd.conf加/etc/httpd/conf.d/*.confDebian 系为/etc/apache2/apache2.conf加sites-enabled/、conf-enabled/。语法检查命令 RHEL 系是httpd -t或apachectl configtestDebian 系是apache2ctl configtest。一、语法与作用域Options [|-]option [[|-]option] ...参数前缀有三种写法含义完全不同写法含义Options Indexes把本目录的选项整体设为只含IndexesOptions Indexes在当前继承的选项集合上追加IndexesOptions -Indexes从当前继承的选项集合中移除Indexes作用域方面有几个硬约束Options出现在服务器配置、虚拟主机、目录配置、.htaccess这四种上下文里。换句话说它只能写在目录段Directory、虚拟主机段VirtualHost、主配置的全局区或.htaccess里。它不能写在 Location 段里。写了会直接报错Options not allowed here因为 Location 是按 URL 匹配的而Options是按文件系统路径生效的。想在.htaccess里使用Options父级目录段的AllowOverride必须包含Options或All否则该行会被忽略并记入错误日志Options not allowed here。这是.htaccess里改Options无效的头号原因。二、八个参数的含义参数依赖的模块含义安全提示Allcore开启除 MultiViews 之外的全部选项开得太多慎用Nonecore关闭全部选项最保守常用于静态资源目录Indexesmod_autoindex目录下没有索引文件时生成文件列表页会泄露文件名默认配置里通常关掉FollowSymLinkscore允许访问本目录内符号链接指向的目标配合不当可能越出网站根目录SymLinksIfOwnerMatchcore仅当符号链接的属主与目标相同时才跟随更严但有额外lstat开销ExecCGImod_cgi允许在本目录执行 CGI 脚本与上传目录共存时极危险Includesmod_include允许服务端包含SSI可能被用来执行命令IncludesNOEXECmod_include允许 SSI但禁用#exec cmd和包含 CGI比Includes安全MultiViewsmod_negotiation按内容协商自动匹配文件foo命中foo.en.html会带来意料之外的路由几个容易误解的点All不等于「全部」。官方文档的表述是「除MultiViews外的所有选项」。MultiViews是一个行为影响面很大、又很少真正需要的选项所以历史上被从All里单独摘了出来。如果你的意图是「全都开」实际得到的是不含内容协商的那一档需要MultiViews就得显式加。FollowSymLinks与SymLinksIfOwnerMatch互斥同时出现时后写的那个生效。这是历史遗留行为不是取交集。Indexes之外还有一层控制。真正决定目录列表长什么样的是 mod_autoindex 的IndexOptions如是否显示文件大小、图标、按什么排序Options Indexes只决定「允不允许列」。想彻底关掉列表还得确认没有IndexOptions之类的额外配置在起作用。Includes生效还需要配套指令。只写Options Includes是不够的还要告诉 httpd 哪些扩展名要过 SSI 过滤器否则.shtml文件会被原样输出Options Includes AddType text/html .shtml AddOutputFilter INCLUDES .shtmlAddType与AddOutputFilter是 mod_mime 提供的指令如果只想用XBitHack按文件的可执行位决定是否解析 SSI那是另一条路语义更隐晦不推荐在生产上使用。ExecCGI单独存在没有意义。CGI 脚本能否被识别为「脚本」还取决于AddHandler cgi-script之类的处理器绑定该指令由 mod_mime 提供。只开ExecCGI而不绑定处理器脚本只会被当普通文本返回。三、合并规则最容易被忽略的一条这是Options与绝大多数指令都不一样的地方值得单独拎出来。Apache 处理目录段的方式是按匹配的路径长度排序越具体的越靠后、越优先。但对于Options默认行为是「最具体的那一条整体覆盖父级」而不是把父子两处的选项合并。# 全局 Options FollowSymLinks Directory /var/www # 这里只写了 Indexes于是 FollowSymLinks 被整个丢掉 Options Indexes /Directory上面这段的最终结果是/var/www下只有IndexesFollowSymLinks不见了。很多人以为它是「父级 子级」的叠加这是最常见的误解。只有当整条指令的所有参数都带或-前缀时才会与当前继承的集合合并Directory /var/www # 全部带前缀 - 与继承来的集合合并得到 FollowSymLinks 和 Indexes Options Indexes /Directory因此实践中的建议是在网站根目录上一次性把完整选项集合写清楚子目录里只用/-做微调。这样无论目录层级嵌套多深行为都是可预测的。四、一份完整可用的配置示例下面这份 RHEL 9 / httpd 2.4 风格的主配置片段可以直接参照。它展示了典型的「根目录收紧、站点目录放开、上传目录全关」三档策略。# 站点根目录先全部收紧再按需挑开 Directory / AllowOverride None Require all denied /Directory # 网站内容目录允许跟符号链接但不列目录不跑 CGI Directory /var/www/html AllowOverride None Options FollowSymLinks -Indexes Require all granted DirectoryIndex index.html index.htm /Directory # 需要列目录的下载区单独放开 Directory /var/www/html/downloads Options Indexes # 带 前缀在继承的集合上追加 IndexOptions FancyIndexing NameWidth* CharsetUTF-8 /Directory # 上传目录什么都别开且禁止任何覆盖 Directory /var/www/html/uploads AllowOverride None Options None Require all granted # 严禁在这一层执行任何脚本 php_admin_flag engine off /Directory # 需要 SSI 的目录显式打开并绑定过滤器 Directory /var/www/html/ssi Options Includes -Indexes AddType text/html .shtml AddOutputFilter INCLUDES .shtml /Directory几点说明php_admin_flag engine off只在你用了 PHP 模块mod_php时有意义用 php-fpm 的场景要在对应的处理器配置里处理不要指望这条指令能挡住所有脚本执行。具体写法以你实际使用的 PHP 集成方式为准。IndexOptions里的CharsetUTF-8用于目录列表页的字符集中文文件名才不会乱码FancyIndexing是默认行为显式写出来只是为了让配置自解释。Require all granted/Require all denied是 2.4 的写法。如果你的服务器还是 2.2要换成Order allow,denyAllow from all那一套。部署与验证# 语法检查RHEL 系 httpd -t # 或 apachectl configtest # Debian 系 apache2ctl configtest # 都通过后优雅重载不断开现有连接 systemctl reload httpd 2/dev/null || systemctl reload apache2 # 看一眼合并后的完整配置含 Include 展开的内容 apachectl -t -D DUMP_RUN_CFG 2/dev/null || true httpd -S # 查看虚拟主机与 Directory 的匹配情况httpd -SDebian 上为apache2ctl -S会列出每个虚拟主机的匹配结果排查「这个请求到底落到了哪个目录段」时非常有用。五、安全基线这些参数该关参数建议理由Indexes默认关闭仅对明确的下载目录开启目录列表会暴露未链接的备份文件、.git、*.bak、数据库转储FollowSymLinks只在站点根目录开上层目录若可写符号链接可指向/etc/passwd之类的路径ExecCGI除专门的 CGI 目录外一律关闭与上传目录叠加等于给攻击者一个执行入口Includes优先用IncludesNOEXEC#exec cmd能执行任意命令MultiViews除非确需内容协商否则关闭会让GET /secret命中secret.txt这类非预期文件All不要写它是一揽子开启改动一个参数就要重新评估全部风险AllowOverride除必要目录外设为None允许.htaccess覆盖Options等于把配置权交给能写文件的人特别提醒Indexes与MultiViews的组合风险Indexes让攻击者能看见目录里有什么MultiViews让攻击者用不带扩展名的路径去命中文件。两者同时开启的站点探测成本极低。常见坑点❌ 在针对/var/www的目录段里写Options Indexes以为会保留全局设的FollowSymLinks结果 mod_rewrite 的规则突然全部失效。 ✅ 不带/-前缀的Options会整体替换继承来的选项集合。要保留原有选项就在每个参数前加/-或者把完整集合写全。mod_rewrite 的RewriteRule在.htaccess里工作要求目录开启FollowSymLinks或SymLinksIfOwnerMatch丢了它规则就不生效且报错信息很不直观。❌ 把Options -Indexes写进按 URL 匹配的 Location 段httpd 启动时直接报语法错误。 ✅Options的上下文不包含 Location。要按 URL 限制改用针对具体目录的配置或者干脆把规则写到对应目录的目录段里。用apachectl configtest能在重载前就发现这类错误。❌ 在.htaccess里写Options -Indexes但没效果错误日志里出现Options not allowed here。 ✅.htaccess要改Options父级目录段的AllowOverride必须包含Options或All。这是安全设计不是 bug。生产环境更推荐直接在目录段里配避免依赖.htaccess。❌ 只写了Options Includes.shtml文件里明明有 SSI 指令却原样输出。 ✅ SSI 需要三件套Options Includes、AddType text/html .shtml、AddOutputFilter INCLUDES .shtml。少了后两条httpd 根本不会去解析那些文件。❌ 全局写了Options All以为打开了所有功能结果MultiViews依然关闭。 ✅All的定义是「除MultiViews外的所有选项」。需要内容协商就必须显式写Options All MultiViews。❌ 上传目录开了Options ExecCGI FollowSymLinks某天发现被人传了一个脚本并成功执行。 ✅ 上传目录应当是Options None且AllowOverride None并额外禁用脚本处理。FollowSymLinks在上传目录里尤其危险——攻击者可以先传一个符号链接再上传目标文件。❌ 直接照抄 2.2 时代的教程在同一段里同时写Order allow,deny、Allow from all和Require all granted配置能通过检查但行为难以预期。 ✅ 2.4 已经移除Order/Allow/Deny由 mod_access_compat 提供兼容。新配置统一用Require all granted、Require ip 192.0.2.0/24这类写法不要混用两代语法。❌ 用apachectl在 Debian 系上执行报命令不存在。 ✅ Debian/Ubuntu 上的命令名是apache2ctl配置文件路径是/etc/apache2/RHEL 系才是apachectl与/etc/httpd/。测试配置在两个体系里的等价命令是apache2ctl configtest与apachectl configtest。❌ 改完配置直接systemctl restart语法错误导致网站整站不可用。 ✅ 先httpd -t或apache2ctl configtest通过后再systemctl reload优雅重载不断开现有连接。只有在必须重启时才用restart。总结目标写法关键提醒整体设定本目录的选项Options Indexes FollowSymLinks会丢弃继承来的全部选项是覆盖不是合并在继承基础上增删Options Indexes -MultiViews所有参数都必须带前缀才触发合并关闭全部选项Options None上传目录、静态资源的稳妥选择关闭目录列举Options -Indexes同时检查IndexOptions是否有额外影响允许 SSIOptions IncludesAddTypeAddOutputFilter三件套缺一不可允许执行 CGIOptions ExecCGIAddHandler cgi-script单独写ExecCGI不生效让.htaccess能改选项父级AllowOverride Options否则报Options not allowed here验证配置httpd -t/apache2ctl configtest/httpd -S先测试再 reloadOptions的八个参数本身并不复杂真正需要记牢的是两条All不含MultiViews以及不带/-前缀的Options是覆盖而非合并。把这两点记住再加上「根目录写全集、子目录只做微调」的书写习惯就不会再出现「某个选项明明写了却不起作用」或者「改了一个目录、另一个目录的功能跟着坏掉」这类连锁故障。最后任何一次修改都走configtest加reload的流程配错的代价就从「整站宕机」降到了「一条报错」。