.htaccess не скрывает файлы, разрешенные в .htaccess уровнем выше
Apache 2.4
Файловая система:
/
.htaccess
test.php
/folder
.htaccess
test.php
.htaccess в корне сайта:
<FilesMatch "^(?i)(test)\.php$">
Require all granted
</FilesMatch>
.htaccess в директории folder:
Require all denied
Описанные правила должны выполнять задачу: разрешать test.php в корне сайта и запрещать /folder/test.php. Однако, /folder/test.php также доступен.
Источник: Stack Overflow на русском