直接禁用Indexes是阻止Apache目录遍历最核心有效的措施，需在httpd.conf及httpd-xampp.conf等所有块中移除或显式禁用Indexes，并重启服务；同时设AllowOverride None、清理暴露路径、隐藏版本号、设置MySQL root密码。
直接禁用
就能阻止 Apache 自动列出目录内容，这是最核心、最有效的一步。其他配置（如隐藏版本号、删减暴露路径）属于加固补充，不解决目录遍历本身。
修改
中的
指令
Apache 默认启用
，导致访问空首页（如
）时直接展示文件列表。必须在对应
块中移除或显式禁用它。
打开
，搜索
找到类似这行：
改成：
（删掉
）
或更稳妥写法：
（显式禁用 + 显式启用）
如果还存在其他
块（比如针对
根目录或
），同样检查并处理
保存后必须重启 Apache，否则不生效
验证是否真的禁止了目录遍历
改完不能只信配置，得用浏览器实测。关键看返回状态码和响应体，不是“看起来没列表”就等于安全。
访问一个明确存在的空目录，例如
（确保该目录存在且无
）
正确结果是 HTTP 403 Forbidden，页面显示
如果返回 200 并列出文件名，说明
还在生效——可能改错了位置（比如改了全局
却漏了
块），或没重启服务
注意：某些 XAMPP 版本会在
里覆盖
配置，务必一并检查该文件
避免因
导致 .htaccess 绕过限制
文件若被允许覆盖主配置，就可能重新启用
，让前面的修改白费。
Apache 2.4.62
PHP中文网提供Apache 2.4.62 官方 tar.gz 源码包下载，通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。
下载
在同一个
块中，确认
的值
如果业务不需要运行时动态重写规则，设为：
如果必须支持
（如 Laravel 项目），至少确保其内容不含
或类似指令
检查项目根目录下是否存在
，用文本编辑器打开看有没有偷偷加回
额外但必要的安全收尾动作
禁用目录遍历只是基础，XAMPP 默认暴露大量调试/管理路径，不清理会抵消前面所有努力。
访问
，运行 XAMPP 自带的安全检查页，它会标出
、
、
等未保护路径
编辑
，注释或删除所有以
、
、
开头的段落
顺手隐藏 Apache 版本号：在
中设
和
不要忽略 MySQL root 密码 ——
是唯一官方入口，明文密码文件（
）务必删掉
最容易被忽略的是多配置文件叠加影响：XAMPP 启动时会加载
、
、
，而
里常有独立的
块，专门放开
下的目录浏览。不查这个，改了十次
都没用。
Indexeshttpd.confOptionsIndexes/uploads/C:\xampp\apache\conf\httpd.confOptions Indexes FollowSymLinks Includes ExecCGIOptions FollowSymLinks Includes ExecCGIIndexesOptions -Indexes +FollowSymLinks +Includes +ExecCGI/xampp//security/Indexeshttp://localhost/uploads/index.htmlForbidden You don't have permission to access /uploads/ on this server.Indexeshtdocshttpd-xampp.confhtdocsAllowOverride.htaccessIndexesAllowOverrideAllowOverride None.htaccessOptions +Indexes.htaccessIndexeshttp://localhost/security/phpmyadminwebalizerxamppC:\xampp\apache\conf\extra\httpd-xampp.confAlias /xamppAlias /securityAlias /phpmyadminhttpd-default.confServerTokens ProdServerSignature Offhttp://localhost/security/xamppsecurity.phpxampp\security\htdocs\xampp\security\passwd.txthttpd.confhttpd-xampp.confhttpd-vhosts.confhttpd-xampp.conf/xampp/httpd.conf