部分文件被拦截，部分文件仍可访问

下载拦截规则应先明确限制范围，再选🎊择🍀按目录、按扩展名或按接口处理，否则容易误伤网站附件、后台更新包和正常页面资源。

404禁止软件下载配置后⭐仍能下载🎵时，应按照“请求入口、服务器规则、缓存响应、备用路径”的顺序排查，不要只查看浏览器页面显示的文字。

部分文件能返回404而部分文件仍可访问，通常是扩展名清单、目录范围或请求路径存在差异。需要把大写后缀、常见压缩格式、无后缀接口和不同存储域名分别列入测试。

动态下载接口和缓存节点不能漏掉

服务器返回404不会让已经下载到用户设备中的文件失🌈效，也无法阻止用户复制已公开的安装包。需要限🍀制传播时，还应控制文件权限、下载身份、签名参数和链接有效期。

配置保存后需要检查语法并平滑重新加载 Nginx，再使用浏览器无痕窗口或请求面板验证状态码。规则只负责拦截 🌺Web 请求，服务器本地进程、管理员账号和其他传输服务仍可能读取原文件。

页面显示404但文件依然能下载

文件扩展名规则只☀️匹配请求路径，不一定能识别没有后缀的下载接口。带查询参数的请求通常仍以路径参与匹📢配，因此不能把参数名当成文件类型判断依据。

配置规则前先确定禁止范围

Nginx 按下载目录拦截适合资源位置固💪定的站点，目录内的文件不论后缀是什么都会返回404。

Apache 配置404禁止软件下载时，可以在虚拟主机配置或允许使用重写规则的目录配置中处理，不能把 Nginx 语法直接复制到 .htaccess 文件。

防盗链只能减少部分外🌺站嵌入，不能代替访问控制。没🎨有登录校验、可长期复用的直链和公开文件目录，仍然可能被批量下载。

为什么用404禁止软件下载，而不是直接删除文件

动态下载接口是许多“文件仍然能下载”问题的根源，因为请求地址可能是 downloa❤️d?id=123、file/name 或无后缀路径，静态文件扩展名规则对此没有作用。

如果站点允许用户上传文件，不能只按文件名后缀判断风险。攻击者可能上传无后缀脚本、伪造 MIME 类型文件或利用程序解析漏洞，上传目录应禁止脚本执行，并配合文件权限和内容校验。