访问网站出来的是目录，直接原因就是服务器没找到默认首页文件，同时开启了目录浏览功能，只需在配置文件里指定默认首页或者关闭目录浏览功能就能解决，不用慌。
这个问题在站长圈里挺常见的,尤其是刚接触服务器配置的朋友，明明域名输对了，浏览器却蹦出一个文件列表，把网站根目录里的东西全摊开给你看，这既不是黑客攻击，也不是网站被黑，纯属服务器配置的“默认行为”，下面把原因、解决方法和注意事项一次性讲透。
为什么网站打开显示目录列表？
你访问域名时,服务器会按顺序查找预设的默认首页文件，比如index.php、index.html、default.htm等，如果这些文件一个都不存在，而服务器又允许目录浏览，它就会把当前目录下的所有文件和子目录列出来当作响应，这其实是一种“降级处理”，但多数情况下并不是你想要的结果。
默认首页文件缺失
这是最常见的原因,上传网站程序时，只上传了文件夹，忘了把根目录下的index.php或index.html放进去，或者文件名写错了（比如index.htm写成index.html，但服务器没配置识别.htm），服务器找不到任何可用的首页文件，就只能走“目录列表”这条路。
目录浏览功能自动开启
很多服务器软件（Apache、Nginx）在默认配置下，目录浏览是开启的，尤其是某些低版本或未优化的安装包，装完以后autoindex模块直接启用，只要目录下没有默认首页，就会直接展示目录结构，业内专家指出，相当一部分新手站长遇到的“目录暴露”问题，根源就在这个默认开关上。
伪静态规则或重写规则干扰
有时候明明有默认首页,但伪静态规则把首页请求重写到了另一个路径，导致服务器找不到文件，最终也落到目录列表上，这种情况比较隐蔽，排查时需要先关闭伪静态规则来测试。
如何关闭网站目录显示？
关闭目录显示的方法取决于你使用的服务器环境,下面直接给出最常用的两个平台的操作路径，每一步都是可验证的。
Nginx环境下的解决方案
Nginx的目录浏览功能由ngx_http_autoindex_module模块控制，关闭它只需两步：
- 找到Nginx配置文件（通常在
/etc/nginx/nginx.conf或/etc/nginx/conf.d/下的站点配置文件）。 - 在
server块或location块中，确保有autoindex off;指令，如果之前没设置，默认就是off，但为了保险建议显式写入。
必须指定默认首页文件,在location块或server块中添加类似：
index index.php index.html index.htm;让服务器按顺序寻找这些文件。
修改完后,测试配置是否正确：nginx -t，然后重载服务：nginx -s reload，如果配置正确，再访问网站就不会出现目录列表了。
Apache环境下的解决方案
Apache控制目录浏览通过Options指令，最常见的做法是在根目录的.htaccess文件（或者httpd.conf/apache2.conf里的<Directory>块）中添加：
Options -Indexes这个指令告诉Apache“禁止目录浏览”，需要确保DirectoryIndex指令指定了默认首页，
DirectoryIndex index.php index.html如果不想用.htaccess（有些服务器禁止覆盖），直接修改虚拟主机的配置文件，在<Directory>块里加上Options -Indexes，然后重启Apache：systemctl restart apache2或httpd -k restart。
行业共识认为,优先在服务器配置文件中关闭目录浏览，比依赖.htaccess更可靠
，因为.htaccess文件可能被遗漏或覆盖。
虚拟主机控制面板的操作
如果用的是宝塔、WDCP、AMH这类面板，通常在“网站设置”或“安全”里有一个“禁用目录浏览”的开关，点一下就能生效，有些面板还会在“默认文档”设置里让你手动添加首页文件名，操作路径基本都是：网站管理 -> 对应站点 -> 设置 -> 默认文档/目录浏览，这种图形化操作对新手最友好，但也别忘了检查面板设置后是否要重启服务。
访问网站目录暴露有哪些安全风险？
目录列表本身不会直接导致网站被黑,但它的信息泄露效应会放大其他漏洞的风险。
敏感信息泄露
目录暴露后,你的网站文件结构一览无余，攻击者可以直接看到：
- 后台管理目录（比如
/admin、/wp-admin） - 配置文件路径（比如
/config、/includes） - 备份文件名称（比如
backup.sql、www.zip） - 隐藏文件（比如
.git、.env）
这些信息对攻击者来说就是“导航地图”，能大幅降低他们扫描和定位漏洞的成本。
被利用下载敏感文件
如果目录列表暴露了config.php、db.php等文件，攻击者可以直接点击下载，即使文件内容不直接显示数据库密码，也可能通过代码注释或遗留测试信息找到突破口，据统计，相当一部分中小网站的安全事件，最初都源于目录浏览暴露了备份文件。
网站目录显示问题的快速排查步骤
遇到“访问网站出来的是目录”，按下面三步走，90%的问题都能定位。
- 检查根目录下是否有默认首页文件，用FTP或文件管理器，看
www或htdocs目录下是否存在index.php、index.html、index.htm
等文件，如果不存在，上传一个即可。
- 检查服务器配置是否关闭了目录浏览，Nginx看
autoindex，Apache看Options，面板看开关，如果配置正确，但问题依旧，检查配置文件是否被加载（比如Nginx的站点配置是否include了）。 - 测试伪静态规则，临时关闭伪静态（比如把
.htaccess改名或删除Nginx的rewrite规则），如果目录列表消失，说明是规则问题，需要调整重写逻辑，确保默认首页请求不被重写。
关于网站目录显示的常见问题解答
网站打开显示目录列表，但怎么关闭目录浏览后还是显示目录？
配置修改后没有生效，最常见的原因是没重启服务，Nginx需要`nginx -s reload`，Apache需要`apachectl restart`或`systemctl restart apache2`，如果重启后还是不行，检查配置语法是否正确，以及是否修改了正确的配置文件（比如有些虚拟主机单独一个文件，主配置文件没include进去），浏览器缓存也可能导致旧页面显示，用无痕窗口或强制刷新（Ctrl+F5）测试。
访问网站目录出现错误403，跟目录列表有什么区别？
403是服务器禁止访问，说明你关闭了目录浏览，但也没有默认首页文件，此时服务器会拒绝列出目录，直接返回403 Forbidden，配置上，`Options -Indexes`且没有`DirectoryIndex`匹配时，就会得到403，解决方案是上传默认首页文件，或者在配置中指定一个默认首页，403其实比目录列表安全一些，但用户体验差，需要尽快处理。
网站目录暴露对搜索引擎优化有影响吗？
有间接影响，搜索引擎爬虫如果发现目录列表，可能会把里面的文件路径当成有效链接抓取，导致大量重复内容或无关页面进入索引，分散权重，暴露的目录可能包含临时文件或测试页面，被收录后造成用户体验下降，不管是出于安全还是GEO考虑，都应该关闭目录浏览。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/580326.html
