2.1 安装部署与目录结构

2.1 安装部署与目录结构

本节摘要：安装 httpd 有两条路——发行版包管理器与源码编译，选择依据是"要不要长期跟着系统升级"。本节完成一次端到端安装：装好、启动、验证进程模型、发第一个请求；然后读懂两种发行版的目录布局差异，这是后面所有配置章节的地图。最后讲源码编译的适用场景与关键参数。

学习目标

阅读完本节，你应当能够：

1. 在常见发行版上完成安装并以服务方式启动；
2. 用进程树与内置命令验证监听与模块加载；
3. 说清 Debian 系与 RedHat 系的目录布局差异；
4. 判断何时该用源码编译，并掌握关键编译选项；
5. 对一台新装服务器完成上线前的基本检查。

两条安装路线的选择题

包管理器安装（如 apt install apache2 或 dnf install httpd）与源码编译，不是"新手与高手"的差别，而是运维策略的差别。

包管理器路线：安装快、安全补丁跟着系统更新走、目录布局符合发行版惯例。代价是版本由发行版决定——企业级稳定版往往落后上游一两年，新特性（比如更新的 HTTP/2 实现）拿不到。适合绝大多数生产环境。

源码编译路线：版本自选、编译参数与模块清单完全可控、可启用发行版没打包的模块。代价是安全更新要自己盯、多机部署要自建打包流程。适合需要特定模块（如特殊认证后端）、或追求特定版本行为的场景。

我的默认建议：除非有明确理由，否则选包管理器。"能被系统一键升级"在安全运维上的价值，超过绝大多数新特性。

动手：装起来并发出第一个请求

以两大家族发行版为例。Debian 系：

sudo apt update && sudo apt install -y apache2
sudo systemctl enable --now apache2
​

RedHat 系：

sudo dnf install -y httpd
sudo systemctl enable --now httpd
​

验证服务状态与端口监听：

systemctl status apache2 --no-pager | head -5
ss -tlnp | grep -E ':(80|443)'
​

期望输出片段：

LISTEN 0 511 0.0.0.0:80  users:(("apache2",pid=4123,fd=4))
LISTEN 0 511 [::]:80      users:(("apache2",pid=4123,fd=4))
​

本机发第一个请求，确认旅程通畅：

curl -sI http://127.0.0.1/ | head -4
​

HTTP/1.1 200 OK
Date: Tue, 18 Aug 2026 08:00:00 GMT
Server: Apache/2.4.62 (Debian)
Content-Type: text/html;charset=UTF-8
​

注意响应头里的 Server 字段暴露了精确版本号——这是第 6 章安全章节要处理的信息泄露项，先记下。

再看进程树，这是理解 MPM 的第一眼实物：

ps -ef | grep -E "apache2|httpd" | grep -v grep
​

root        4123     1  0 08:00 ?  00:00:00 /usr/sbin/apache2 -k start
www-data    4124  4123  0 08:00 ?  00:00:00 /usr/sbin/apache2 -k start
www-data    4125  4123  0 08:00 ?  00:00:00 /usr/sbin/apache2 -k start
www-data    4126  4123  0 08:00 ?  00:00:00 /usr/sbin/apache2 -k start
​

一个 root 属主的父进程加一串运行用户的子进程。为什么父进程是 root？因为它要绑定 1024 以下的特权端口；绑定完成后就 fork 出降权的工作进程去干活——最小权限原则在进程模型上的直接体现。

目录结构：两大家族的方言差异

httpd 上游定义了逻辑布局，各发行版用软件包"翻译"成各自的方言。对照着记：

Debian 系的 available/enabled 双目录设计，本质是用软链接实现"配置存在但不生效"：模块文件躺在 available 里，a2enmod 建一个指向 enabled 的链接才算启用。这套机制与上一章的 httpd -M 对应——enable 之后 -M 才能看到。

无论哪种方言，逻辑结构都是同一个：一个主入口文件，按 Include 指令把各片段拼起来。读配置时先看主入口里的 Include 行，画出"实际生效的文件清单"，就不会在几十个片段里迷路。httpd -V 输出的几个关键变量（如 SERVER_CONFIG_FILE、DEFAULT_SERVERROOT、HTTPD_ROOT）能告诉你这台机器认哪里为家。

管理命令家族速记：

# 配置语法检查——改完配置必做，reload 之前先跑
apachectl -t
# 列出编译与运行信息
httpd -V | head -6
# 优雅重启：主进程重新读配置，旧进程处理完手头请求再退场
apachectl graceful
​

**注意一个高频坑：直接 systemctl restart 与 graceful 的差别在于后者不掐断在途请求。线上流量高峰期 reload 配置务必用 graceful，否则用户会看到瞬间的连接重置。

源码编译：什么时候、怎么做

需要源码的场景集中在三类：发行版版本太旧且业务强依赖新特性；需要链接自编译的第三方模块（如带自定义补丁的 WAF）；嵌入式或特殊路径部署。

典型流程骨架：

./configure --prefix=/opt/httpd \
  --with-mpm=event \
  --enable-ssl=shared --enable-http2 \
  --enable-rewrite=shared --enable-proxy=shared \
  --enable-so
make -j$(nproc) && sudo make install
​

四个参数最关键：--prefix 决定安装根（自编译建议放独立目录，不污染系统）；--with-mpm 选默认模型；--enable-so 打开 DSO 支持（不给它，后面想加动态模块就要重新编译）；各 --enable-xxx=shared 把模块编成 DSO 而不是焊死。依赖（APR/APR-Util 库、PCRE、 OpenSSL、nghttp2）需提前备齐，编译报错九成是缺依赖。

源码路线的隐藏成本在后续：要自己订阅安全公告、自己重编升级、多台机器要做成内网包仓库。把它当成"医疗 special 处置"，别当日常饮食。

新服务器上线检查单

装完不等于能用。上线前过一遍这个清单：

• 配置语法检查通过（apachectl -t）；
• httpd -M 模块清单与基线对照，多余模块卸载；
• 防火墙只放行业务端口（80/443），管理端口不对公网；
• 默认欢迎页已替换或关闭，避免暴露服务器信息；
• 日志目录权限与轮转配置就位（第 6 章展开）；
• 时钟同步（NTP）——日志时间线与证书校验都依赖它。

图 2-1 从安装到首请求的验证路径

本节要点回顾

• 路线选择：默认包管理器，源码编译留给"有明确理由"的场景；
• 进程模型第一眼：root 父进程绑特权端口，降权子进程干活，最小权限的活教材；
• 目录方言：Debian 系 available/enabled 软链接机制，RedHat 系集中片段，逻辑都是 Include 拼装；
• 必做检查：-t 语法检查、-M 模块盘点、-V 环境信息、graceful 优雅重启；
• 上线清单：端口、模块、欢迎页、日志、时钟五项过完才算立起来；
• 响应头里的版本号：安全章节要回来处理的第一笔欠账。

💡 一句话记住本节：装好不是终点，六步验证清单走完才算"这台服务器存在"。