负载均衡器和CDN层面保护敏感文件：防止直接访问.git等敏感目录

前言

在现代Web应用部署中，开发者有时会意外地将敏感文件和目录暴露在公网上，如.git目录、.env配置文件、composer.json等。这些文件可能包含源代码、数据库凭据、API密钥等敏感信息，一旦被恶意用户访问，将造成严重的安全风险。

传统做法是在Web服务器层面配置访问控制规则，但在现代云架构中，我们可以在更前端的层面——负载均衡器和CDN层面实现这种保护，提供更强的安全性和更好的性能。本文将详细介绍如何在AWS ALB、CloudFront CDN以及其他负载均衡器上实现对敏感文件的访问控制。

为什么需要在LB/CDN层面保护

传统Web服务器保护的局限性

# 传统nginx配置
location ~ (^|/)\.git {deny all;return 404;
}location ~ /\.(env|htaccess|htpasswd) {deny all;return 404;
}

# 传统Apache配置
<DirectoryMatch "^/.*/\.git/">Require all denied
</DirectoryMatch><FilesMatch "^\.env">Require