云服务器禁止访问隐藏文件(.htaccess,.git)配置

# 禁止访问所有隐藏文件（以.开头的文件和目录）
location ~ /\. {
    deny all;
    access_log off;
    log_not_found off;
    return 404;
}

# 禁止访问 .git 目录及其所有子路径
location ~ /\.git {
    deny all;
    return 404;
}

# 禁止访问 .svn 目录
location ~ /\.svn {
    deny all;
    return 404;
}

# 禁止访问 .env 文件
location ~ /\.env {
    deny all;
    return 404;
}

# 禁止访问 .htaccess 和 .htpasswd
location ~ /\.ht {
    deny all;
    return 404;
}

# 禁止访问常见备份文件
location ~* \.(bak|backup|sql|tar\.gz|zip|swp|swo)$ {
    deny all;
    return 404;
}

# 默认拒绝所有请求
location / {
    # 只允许这些扩展名的文件被访问
    location ~* \.(html|htm|css|js|jpg|jpeg|png|gif|ico|svg|woff|woff2|ttf|eot|mp4|webp)$ {
        # 正常处理静态文件
    }
    
    # PHP等动态请求交给后端处理
    location ~ \.php$ {
        fastcgi_pass unix:/run/php-fpm/www.sock;
        # ... 其他fastcgi配置
    }
    
    # 其余一律拒绝
    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }
}

# 禁止访问所有隐藏文件和隐藏目录
<DirectoryMatch "/\.">
    Require all denied
</DirectoryMatch>

# 禁止访问特定文件
<FilesMatch "^\.ht">
    Require all denied
</FilesMatch>

<FilesMatch "\.(env|bak|backup|sql|git|svn)$">
    Require all denied
</FilesMatch>

# 禁止访问所有隐藏文件
<FilesMatch "^\.">
    Order allow,deny
    Deny from all
</FilesMatch>

# 禁止访问 .git 目录
RedirectMatch 404 /\.git
RedirectMatch 404 /\.svn
RedirectMatch 404 /\.env

# 禁止访问备份文件
<FilesMatch "\.(bak|backup|sql|tar\.gz|zip|swp)$">
    Order allow,deny
    Deny from all
</FilesMatch>

# 测试 .git 目录
curl -I https://yourdomain.com/.git/HEAD
# 期望结果：HTTP/2 404

# 测试 .env 文件
curl -I https://yourdomain.com/.env
# 期望结果：HTTP/2 404

# 测试 .htaccess 文件
curl -I https://yourdomain.com/.htaccess
# 期望结果：HTTP/2 404

# 测试正常文件（确保没有被误封）
curl -I https://yourdomain.com/index.html
# 期望结果：HTTP/2 200

# Nginx
nginx -t && systemctl reload nginx

# Apache
apachectl configtest && systemctl reload apache2

/var/www/
├── config/
│   ├── .env              ← 敏感文件放在这里
│   └── database.yml
└── mysite/               ← Web根目录指向这里
    ├── public/
    │   └── index.php
    └── src/

# 部署脚本中加入清理步骤
rm -rf /var/www/mysite/.git
rm -rf /var/www/mysite/.svn
find /var/www/mysite -name ".DS_Store" -delete

# .env 文件只允许应用用户读取
chmod 600 /var/www/config/.env
chown www-data:www-data /var/www/config/.env

#!/bin/bash
# 隐藏文件安全自查脚本
# 用法：bash check_hidden_files.sh /var/www

WEBROOT=${1:-/var/www}

echo "===== 隐藏文件安全自查 ====="
echo "扫描目录：$WEBROOT"
echo ""

# 查找Web根目录下的隐藏文件和目录
echo "🔍 发现以下隐藏文件/目录："
find "$WEBROOT" -name ".*" -not -name "." -not -name ".." 2>/dev/null | while read f; do
    if [ -d "$f" ]; then
        echo "  📁 [目录] $f"
    else
        echo "  📄 [文件] $f"
    fi
done

echo ""
echo "===== Nginx配置检查 ====="
if grep -rq "location.*deny.*all" /etc/nginx/ 2>/dev/null; then
    echo "  ✅ Nginx中存在隐藏文件拦截规则"
else
    echo "  ❌ Nginx中未发现隐藏文件拦截规则，请尽快配置！"
fi

echo ""
echo "===== 检查完成 ====="

chmod +x check_hidden_files.sh
bash check_hidden_files.sh /var/www/mysite