在XAMPP环境中，Apache默认只监听80端口，但开发时我们经常需要让同一个Apache实例通过不同端口提供多个站点或服务。配置多端口本身并不复杂，真正容易出错的是每个端口对应目录的Options指令。Options指令决定了该目录允许启用哪些服务器特性，一旦设置宽松，就可能暴露目录结构甚至允许执行不该运行的脚本。
多端口监听的基础配置
要让Apache在XAMPP中监听多个端口，首先得修改主配置文件让Apache绑定额外端口。在XAMPP安装目录的apache/conf/httpd.conf中，找到Listen指令。默认通常只有一句Listen 80，我们可以追加其他端口，例如8080和9000。这样Apache启动后就会同时在这些端口上等待请求。
需要注意的是，Windows系统下如果端口被占用，Apache会启动失败，可以在命令行用netstat -ano查看端口占用情况。修改完Listen后，还要确保对应端口没有被防火墙拦截，否则外部浏览器无法访问。配置好监听只是第一步，真正决定目录行为的是后面每个虚拟主机里的Directory块。
# 在 httpd.conf 中增加监听端口 Listen 80 Listen 8080 Listen 9000
Options指令的作用与常见取值
Options指令出现在Directory、Location或者Files配置块中，用来开启或关闭某些目录级功能。常见取值包括Indexes、FollowSymLinks、ExecCGI、Includes等。Indexes表示当目录中没有默认索引文件时，服务器会生成文件列表返回给浏览器；FollowSymLinks允许通过符号链接访问文件；ExecCGI则允许在该目录执行CGI脚本。前面带加号表示追加，带减号表示移除，不带符号则是清空之前设置后只保留当前列出的。
很多初学者直接写Options All，这等于打开了几乎所有特性，极其危险。在多端口配置里，不同端口可能对应测试站点和后台管理站点，若都用Options All，一旦索引文件缺失，整个目录就会被遍历。正确思路是针对每个端口的DocumentRoot单独设定最小权限。例如纯静态资源端口可以只给FollowSymLinks，而需要CGI的端口才加ExecCGI。
| 选项 | 含义 | 风险 |
|---|---|---|
| Indexes | 无索引页时列出目录 | 泄露文件结构 |
| FollowSymLinks | 允许跟随符号链接 | 可能跳出网站根目录 |
| ExecCGI | 允许执行CGI程序 | 执行任意脚本风险 |
| Includes | 允许服务端包含 | 信息泄露或代码注入 |
多端口虚拟主机中的Options写法
在XAMPP里，我们通常把多端口站点写成基于端口的虚拟主机，配置放在apache/conf/extra/httpd-vhosts.conf中，并在httpd.conf里用Include把该文件引入。每个VirtualHost块绑定不同端口，内部用Directory指定根目录和Options。下面示例展示了8080端口提供静态演示，9000端口提供CGI服务，两者Options严格区分。
可以看到，8080端口刻意使用Options -Indexes +FollowSymLinks，关闭了目录浏览，避免别人看到演示文件清单；9000端口因为要跑CGI，才加上+ExecCGI，但同样关掉Indexes。这种按端口隔离配置的方式，能让多端口环境既灵活又可控。如果以后新增端口，直接复制对应模板修改路径即可，不容易遗漏安全项。
# 引入虚拟主机配置
Include conf/extra/httpd-vhosts.conf
# 在 httpd-vhosts.conf 中
<VirtualHost *:8080>
DocumentRoot "C:/xampp/htdocs/static_demo"
ServerName localhost
<Directory "C:/xampp/htdocs/static_demo">
Options -Indexes +FollowSymLinks
AllowOverride None
Require all granted
</Directory>
</VirtualHost>
<VirtualHost *:9000>
DocumentRoot "C:/xampp/htdocs/cgi_bin"
ServerName localhost
<Directory "C:/xampp/htdocs/cgi_bin">
Options -Indexes +FollowSymLinks +ExecCGI
AddHandler cgi-script .cgi .pl
Require all granted
</Directory>
</VirtualHost>
常见错误与排查思路
实际配置中，有人喜欢在httpd.conf全局写一句Options Indexes，然后指望在各个Directory里覆盖，结果因为继承关系没搞清楚导致设置不生效。Apache的Options在同一层级如果多次出现，后出现的会按加减号规则合并，但若父目录允许Indexes而子目录没显式减掉，子目录依然可能列出。所以最稳妥是在每个端口的Directory里写全量覆盖式指令，如Options -Indexes +FollowSymLinks，不使用继承。
另一个坑是修改完配置却忘了重启Apache，XAMPP控制面板里点Stop再Start才能加载新配置。如果访问端口返回403，先检查Require指令是否放行，再看Options是否误禁了FollowSymLinks导致无法读符号链接。通过Apache错误日志apache/logs/error.log能快速定位是哪条指令拒绝访问。掌握这些细节，多端口下的Options就不再混乱。
安全配置建议
对于本地开发用的XAMPP，多端口只是为了隔离项目，但仍建议遵守最小权限原则。不需要目录浏览就不要开Indexes，不需要CGI就别加ExecCGI。如果某些端口只对内网开放，可以配合Require ip 127.0.0.1限制来源。这样即使电脑连到公共网络，也不至于因配置疏忽被扫描到目录。
当把类似配置迁移到生产环境时，更要把Options审查一遍，并用访问控制指令锁死敏感目录。XAMPP本身是集成的便捷包，不应直接当作生产服务器，但它在多端口和Options上的配置逻辑与标准Apache一致，弄懂了本地这套，以后管理Linux上的Apache也会顺手很多。