Apache 的别名机制允许把 URL 路径映射到服务器文件系统上的任意目录，而不必把资源放在 DocumentRoot 下。Alias 与 ScriptAlias 都提供这种映射能力，但服务端对目标文件的处理方式截然不同：前者原样返回文件内容，后者会尝试执行文件并把标准输出作为响应。这个差异直接决定了一个 .pl 或 .py 文件在浏览器里是显示源码还是返回运行结果。
核心语义差异：映射与执行是两回事
Alias 指令本质是 URL 空间到文件系统路径的静态映射。当请求路径匹配别名前缀时，Apache 找到对应文件，根据 MIME 类型和内容协商返回文件内容。即使文件具有可执行权限或扩展名为 .cgi，也不会执行它。这种机制适合图片、CSS、JavaScript、下载文件等静态资源，因为服务器只需读取磁盘内容并发送给客户端，处理开销很小。
ScriptAlias 则多了一层 CGI 执行语义。它把目录标记为脚本目录，Apache 在命中该目录时会调用操作系统的外部程序或解释器来运行文件，并把程序的标准输出包装成 HTTP 响应。这要求文件必须可执行，且输出需要包含正确的 HTTP 头。ScriptAlias 可以理解为 Alias 加 SetHandler cgi-script 加 Options +ExecCGI 的组合，但作为单一指令在解析配置阶段效率更高，语义也更清晰。
从实现角度，mod_alias 模块同时处理这两个指令。Alias 只注册映射关系；ScriptAlias 在注册映射的同时还会为目标目录设置 CGI 处理程序。请求处理流程中，命中 ScriptAlias 的请求会尝试执行文件，如果目标文件缺失、不可读或无法执行，Apache 会返回 403 或 500 错误，而不是简单地返回文件源码。
配置实例与行为对比
用两个典型目录为例：静态别名 /static 指向 /var/www/static，脚本别名 /cgi-bin/ 指向 /usr/lib/cgi-bin。注意 ScriptAlias 目标目录最好不要放在 DocumentRoot 内，以免用户通过普通路径绕过别名直接访问到脚本源码。完整配置如下。
Alias /static /var/www/static
<Directory "/var/www/static">
Options Indexes FollowSymLinks
AllowOverride None
Require all granted
</Directory>
ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
<Directory "/usr/lib/cgi-bin">
Options +ExecCGI
AllowOverride None
Require all granted
</Directory>
如果两个目录下都有一个名为 test.pl 的文件，内容如下。请求 /static/test.pl 会看到原始源码；请求 /cgi-bin/test.pl 则会看到脚本输出的结果。这是最直观的差异。另外，URL 尾部是否有斜杠会影响匹配：Alias /static 与 Alias /static/ 行为不同，前者可能匹配 /staticXXX 前缀，后者只匹配 /static/ 目录。ScriptAlias 同理，通常建议始终给出尾部斜杠。
#!/bin/sh echo "Content-type: text/plain" echo "" echo "hello from perl/shell script"
这种差异会造成两种典型故障：如果管理员误把脚本目录配成 Alias，客户端可以直接下载脚本源码，泄露数据库密码或路径信息；如果误把静态资源目录配成 ScriptAlias，图片或 HTML 文件会被当作 CGI 执行，产生 500 错误。因此理解执行语义比只记指令名称更重要。
把Alias目录改造成CGI目录的方法
有时需要把现有 Alias 目录临时开放 CGI 执行，但不想改动别名定义。可以在对应的 Directory 块中添加两行：Options +ExecCGI 和 SetHandler cgi-script。这样 Apache 就对该目录下的所有文件使用 CGI 处理程序，效果接近 ScriptAlias。但要注意 SetHandler 会覆盖文件扩展名判断，如果目录里混有静态文件，它们的请求也会被当作 CGI 脚本执行，导致 500 错误。
与此相比，ScriptAlias 只对映射目录生效，默认已经配置好 CGI 处理程序，无需额外指令。如果希望只对特定扩展名执行 CGI，可以使用 AddHandler 配合 FilesMatch 条件块。示例：让 Alias 目录下只有 .cgi 和 .pl 文件执行，其余静态返回。这比全局 SetHandler 更安全。
Alias /app /var/www/app
<Directory "/var/www/app">
Options +ExecCGI
AddHandler cgi-script .cgi .pl
Require all granted
</Directory>
<FilesMatch "\.(cgi|pl)$">
SetHandler cgi-script
</FilesMatch>
从语义等价性看，ScriptAlias 是一种把目录级执行和映射绑定在一起的策略；而 Alias 加目录指令提供了更细粒度控制，但配置分散，容易漏配。如果目录内全部是脚本，使用 ScriptAlias 简洁且意图明确；如果混合内容，可以用 Alias 加扩展名匹配，而不是简单复制 ScriptAlias 的写法。
安全排错与目录组织建议
安全问题首先是源码泄露。错误地把包含脚本的目录用 Alias 暴露，会让客户端直接下载或查看脚本源码，可能包含数据库密码、私钥路径等敏感信息。因此含有可执行逻辑的目录必须用 ScriptAlias 或明确的 CGI 配置，而不是简单 Alias。反过来，如果 ScriptAlias 指向了包含静态资源的目录，静态文件会被当作脚本执行，产生 500 错误或执行恶意代码。
目录权限很关键。CGI 脚本需要具有可执行权限，通常 chmod 755。Apache 以 www-data 或 apache 用户运行，脚本运行身份是同一用户，因此脚本不能随意写系统目录。建议将 ScriptAlias 目录放在 DocumentRoot 之外，并通过 Directory 块限制访问。不要给脚本目录 AllowOverride 权限，以免 .htaccess 被上传利用。共享主机场景下，最好为每个虚拟主机配置独立的别名目录。
排错时先查看 Apache 错误日志，常见错误包括 Permission denied（脚本不可执行）、End of script output before headers（脚本崩溃或没有正确输出头）、Malformed header from script（输出头部格式错误）。可以用命令行手动运行脚本测试，确认它打印 Content-type 头后空行再输出内容。这些日志信息能快速区分是配置问题还是脚本自身问题。
性能影响与最终选择
Alias 只做路径转换，处理静态文件时通常由 mod_dir 或 mod_autoindex 配合，性能开销极小。ScriptAlias 每次请求都会 fork 一个外部进程执行脚本，开销远高于静态文件。如果脚本用解释型语言（Perl、Shell、Python），还要加载解释器，高并发下容易成为瓶颈。因此不要把所有动态请求都塞进 ScriptAlias，合理使用静态资源缓存、FastCGI 或反向代理来缓解。
总结选择：纯静态资源目录用 Alias；全部是 CGI 可执行文件的目录用 ScriptAlias；混合目录用 Alias 加 Options +ExecCGI 和 AddHandler 或 SetHandler，但做好扩展名白名单。另外如果使用 Apache 2.4 以上，尽量用 Require 指令控制访问，保持配置风格一致。理解这两个指令的差异，就能避免在虚拟主机配置中同时出现源码泄露和误执行两类问题。
Apache AliasScriptAliasCGI配置修改时间：2026-09-19 09:50:05