如何通过 Apache 保护敏感日志文件不被外部访问

最直接有效的方式是不让日志文件出现在Web可访问路径下，并配合系统级权限控制与Apache配置双重防护：确保ErrorLog和CustomLog指向路径不在DocumentRoot或Alias覆盖范围内，通过<Directory>全局禁止HTTP访问，设置日志目录750权限、文件640权限，且属组为Apache运行用户组，同时关闭ServerSignature和ServerTokens。

最直接有效的方式是不让日志文件出现在 Web 可访问路径下，并配合系统级权限控制与 Apache 配置双重防护。日志文件本身就不该被 HTTP 请求直接读取，一旦放错位置或权限宽松，极易被扫描下载。

确保日志路径不在 DocumentRoot 内

Apache 的访问日志（access.log）、错误日志（error.log）默认存放在 /var/log/apache2/ 或 /var/log/httpd/，这些路径本就不在网站根目录下——这是最基本的安全前提。如果误将日志写入 /var/www/html/logs/ 这类可被 URL 访问的目录，攻击者只需请求 https://site.com/logs/error.log 就能直接下载。

• 检查 ErrorLog 和 CustomLog 指令指向的位置，确认路径不在任何 DocumentRoot 或别名（Alias）覆盖范围内
• 避免使用 Alias /logs /var/www/html/logs 映射日志目录；如确需提供日志查看界面，应通过后端程序鉴权，而非直接暴露文件

用 Directory 指令封锁日志目录的 Web 访问

即使路径已隔离，仍建议显式禁止对日志目录的 HTTP 访问，防止因配置变动或符号链接意外暴露：

• 在主配置（httpd.conf 或 apache2.conf）中添加：

<Directory "/var/log/apache2">
  Require all denied
</Directory>

• 若用的是 Apache 2.2，改用 Deny from all
• 该配置必须放在 <VirtualHost> 外、全局作用域生效，且不能写在 <Location> 中（后者不识别真实路径）

收紧系统文件权限与归属

Apache 进程（如 www-data、apache）需要写入日志，但普通用户和网络服务不应有读取权：

• 设置日志目录权限为 750，属组为 Apache 运行用户组（如 www-data）
• 日志文件本身设为 640：属主可读写，属组可读，其他用户无权限
• 执行：chown -R root:www-data /var/log/apache2 && chmod -R 750 /var/log/apache2 && find /var/log/apache2 -type f -exec chmod 640 {} ;
• 必要时用 chattr +a 允许追加但禁止删除或修改（仅限属主）

禁用目录索引并隐藏服务器信息

防止攻击者通过试探性请求发现日志结构或版本线索：

• 确认 Options 中未启用 Indexes，避免列出 /logs/ 下的文件
• 在全局配置中关闭标识：ServerSignature Off 和 ServerTokens Prod
• 若使用 .htaccess，确保对应目录的 AllowOverride 不允许重写或覆盖访问控制