Apache 2.2 虛擬主機目錄權限 403 錯誤根因與修復實戰

升級 Apache 2.2 後配置虛擬主機，語法檢查通過卻回傳 403 Forbidden。根因在於 2.2 版預設引入更嚴格的核心目錄存取控制，若未在虛擬主機層級顯式授權，將繼承全域拒絕規則。本文還原排查過程並給出最佳實務配置。

環境基線

• OS: Solaris 10
• Apache: httpd-2.2.0 (編譯安裝至 /usr/local/apache2)
• 虛擬主機模式: 基於 IP+Port (192.168.27.201:8088)
• DocumentRoot: /www/docs

配置流程回顧

1. 主配置 httpd.conf：啟用 Include conf/extra/httpd-vhosts.conf，新增 Listen 192.168.27.201:8088
2. 虛擬主機配置 httpd-vhosts.conf：註釋預設範例，新增 <VirtualHost 192.168.27.201:8088> 區塊，設定 DocumentRoot、ServerName
3. 語法檢查：bin/apachectl -t、bin/apachectl -S 均通過
4. 建立測試頁 /www/docs/test.html，啟動服務
5. 主站 https://192.168.27.201 正常，虛擬主機 https://192.168.27.201:8088/test.html 回傳 403 Forbidden

根因分析：全域預設拒絕規則

檢視 httpd.conf 發現核心區塊：

<Directory />
  Options FollowSymLinks
  AllowOverride None
  Order deny,allow
  Deny from all
</Directory>

解讀： 對根目錄 / 及所有子目錄預設 拒絕所有存取。Apache 2.2 採用「先拒絕後允許」預設策略，**虛擬主機必須顯式覆蓋其 DocumentRoot 的存取規則**，否則繼承全域拒絕。

修復方案：在虛擬主機配置中授權

原則： 權限控制區塊放在 httpd-vhosts.conf 內部，而非主配置，實現配置內聚、易維護、權限最小化。

<VirtualHost 192.168.27.201:8088>
  DocumentRoot "/www/docs"
  ServerName 192.168.27.201:8088

  <Directory "/www/docs">
    Options -Indexes FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from all
  </Directory>

</VirtualHost>

關鍵點：

• Directory 路徑**必須與 DocumentRoot 完全一致** (含尾斜線一致性)
• Order allow,deny + Allow from all 覆蓋全域 Deny from all
• Options -Indexes 禁用目錄瀏覽，提升安全性

驗證與重啟

bin/apachectl -t      # 語法檢查
bin/apachectl -k graceful  # 平滑重載

再次訪問虛擬主機測試頁，應正常返回 200 OK。

Apache 2.4+ 寫法差異提醒

若使用 Apache 2.4，授權指令已重寫為 Require all granted：

<Directory "/www/docs">
  Options -Indexes FollowSymLinks
  AllowOverride None
  Require all granted
</Directory>

舊版 Order/Allow/Deny 在 2.4 需載入 mod_access_compat 相容，建議直接遷移新語法。

最佳實務總結

1. 虛擬主機配置檔獨立管理 (Include 模組化)
2. 每個 <VirtualHost> 內**必須**包含對應 <Directory> 授權區塊
3. 遵循最小權限：禁用 Indexes、限制 AllowOverride、精確路徑匹配
4. 配置變更後必跑 apachectl -t 再平滑重載
5. 錯誤日誌 (ErrorLog) 是排查 403/500 的第一現場，養成即時查閱習慣

權限問題看似棘手，實則是「顯式授權」缺位。養成「配虛擬主機必寫 Directory」的肌肉記憶，403 將不再是攔路虎。