可通过四种方式限制二级目录直接访问：一、修改Nginx/Apache配置文件，用正则匹配仅允许可信后缀；二、用宝塔反向代理隐藏真实路径；三、通过宝塔防火墙自定义URL过滤规则拦截无后缀请求；四、Apache环境下用.htaccess强制重写或拒绝对应路径。
如果您在宝塔面板中部署了多个站点或子应用，希望限制通过二级目录直接访问敏感后台或管理接口，则可通过配置访问后缀来增强访问控制。以下是实现该目标的具体操作步骤：
一、修改站点配置文件添加路径匹配规则
通过手动编辑Nginx或Apache的站点配置文件，在location块中设置仅允许带指定后缀的请求访问二级目录，其余请求一律拒绝。此方式直接作用于Web服务器层，拦截效率高且不依赖应用逻辑。
1、登录宝塔面板，进入【网站】页面，找到对应站点，点击【设置】。
2、切换到【配置文件】选项卡，定位到server块内，找到需保护的二级目录location配置（如location /admin { ... }）。
3、将原location指令替换为正则匹配形式：location ~ ^/admin\.(php|html|js|css)$ {（示例中仅允许/admin.php、/admin.html等带点后缀的路径）。
4、在该location块内保留原有root、index及fastcgi_pass等配置；若无匹配后缀，则添加一个阻断规则：return 403;置于同级其他location之外。
5、保存配置文件，点击【重载配置】使生效。
二、使用宝塔反向代理功能隐藏真实路径
将二级目录服务绑定至非标准端口或本地回环地址，再通过宝塔内置反向代理模块对外暴露带固定后缀的URL，实现路径与服务解耦。外部无法探测原始目录结构，降低暴力扫描风险。
1、进入站点【设置】→【反向代理】→【添加反向代理】。
2、代理名称填写“admin-secure”，目标URL填写http://127.0.0.1:8081（假设后端服务运行于本地8081端口）。
3、发送域名留空，缓存关闭，提交保存。
4、返回【配置文件】，在server块中添加独立location：location /manage.secure { proxy_pass http://127.0.0.1:8081/; }（注意末尾斜杠）。
5、重启Nginx服务。
三、启用宝塔防火墙自定义规则拦截无后缀访问
利用宝塔自带防火墙模块，创建基于URI特征的拦截规则，对不包含指定后缀的二级目录请求返回403响应。该方式无需修改配置文件，适合快速启用和批量管理。
1、进入【安全】→【防火墙】→【自定义规则】→【添加规则】。
2、规则类型选择【URL过滤】，URL路径填写：^/api/[^?]*$|^/admin/[^?]*$（匹配/api/和/admin/开头且无查询参数及后缀的路径）。
3、操作选择【拒绝访问】，状态码填入403，启用规则。
4、点击【保存】并确认防火墙已开启。
四、通过.htaccess强制重写路径（仅Apache环境）
针对Apache服务器，可在二级目录根路径下放置.htaccess文件，利用mod_rewrite模块重写所有无后缀请求为带预设后缀的跳转，或直接拒绝对应请求，从应用层加固访问控制。
1、进入站点根目录下的二级目录（如/www/wwwroot/site.com/admin），新建文件.htaccess。
2、写入以下内容：RewriteEngine On\nRewriteCond %{REQUEST_URI} ^/admin/?$ [NC]\nRewriteRule ^(.*)$ - [R=403,L]（注意换行符需为Unix格式）。
3、确保Apache已启用rewrite模块：【软件商店】→【Apache管理】→【配置修改】→确认LoadModule rewrite_module modules/mod_rewrite.so未被注释。
4、重启Apache服务。
