最常用、最安全、直接复制就能用的 Nginx + Apache 网站目录禁止访问代码，不管你用哪种服务器，直接贴配置就能生效。

一、Nginx 环境（最常用）

1. 禁止访问某个目录（推荐）

nginx

# 禁止访问 /includes 目录

location ~ ^/includes/ {

   deny all;

}

# 禁止访问 /config 目录

location ~ ^/config/ {

   deny all;

}

2. 禁止访问所有。开头的隐藏目录 / 文件（.git、.env 等）

nginx

location ~ /\. {

   deny all;

   access_log off;

}

3. 禁止访问指定后缀文件（.sql、.log、.ini、.bak 等）

nginx

location ~* \.(sql|log|ini|bak|config|py|php~)$ {

   deny all;

}

4. 只允许本地访问（后台目录专用）

nginx

location /admin/ {

   allow 127.0.0.1;

   deny all;

}

二、Apache 环境（.htaccess）

1. 禁止访问整个目录

创建 .htaccess 放到要禁止的目录里：

apache

Order Allow,Deny

Deny from all

2. 禁止访问指定文件类型

apache

<FilesMatch "\.(sql|log|ini|bak|config)$">

   Order Allow,Deny

   Deny from all

</FilesMatch>

3. 禁止访问 .git、.env 等隐藏文件

apache

<FilesMatch "^\.">

   Order Allow,Deny

   Deny from all

</FilesMatch>

三、通用安全规则（所有网站必加）

不管 Nginx 还是 Apache，必须禁止访问这些文件：

.env

.git

vendor/

config/

*.sql

*.log

*.bak

*.ini

总结

Nginx 用 location + deny all

Apache 用 .htaccess + Deny from all

隐藏目录 / 敏感文件必须禁止访问，否则会泄露源码、数据库、密钥