.htaccess produziert 403-Fehler

Wenn der Zugriff über die lokale Schnittstelle (das Loopback-Device) erfolgt, wird für gewöhnlich die Adresse 127.0.0.1 verwendet oder bei IPv6 die Adresse ::1

Order Deny,Allow
Deny from all
Allow from 127.0.0.1 ::1

localhost löst normalerweise auch auf 127.0.0.1 auf und nicht auf die öffentliche Adresse des Rechners

Ab Apache 2.4 wird übrigens die Require-Direktive verwendet:

Require all denied
Require ip 127.0.0.1 ::1

Hast du Zugriff auf die Logfiles? was steht denn zu den Zugriffszeiten im Access Log sowie im Error Log des Webservers?

aber eben auch nicht von der Domain aus selbst, bzw. auch nicht von localhost.

Das heißt nicht über http://localhost/verzeichnis?

Kannst du über http://127.0.0.1/verzeichnis zugreifen?

Und sobald du testweise "Require all denied" auskommentierst, kannst du normal zugreifen?

Der Zugriff erfolgte dann aber nicht über http://localhost/.../rechnungen/123.pdf und die IP-Adresse des Clients ist demzufolge auch nicht 127.0.0.1. Die IP-Adresse steht in der Fehlermeldung zwischen "client" und der Portangabe ":54183" sowie auch im Access-Log

Da ich nicht weiß, inwieweit auf die Seite zugegriffen werden darf, habe ich einige Daten in deinem Posting zur Sicherheit durch *** ersetzt.

Nur noch mal zur Klarstellung, nicht dass ich dich hier missverstanden habe:

vergeblich versuche ich ein Verzeichnis vor Zugriff von außen zu schützen, dabei aber den Zugriff von localhost (der eigenen IP) zuzulassen.

"localhost" legt nahe, dass dein Browser auf demselben Rechner läuft, auf dem auch das Rechnungsverzeichnis liegt. Ist das der Fall?

http://localhost/ weist auf das DocumtentRoot-Verzeichnis des Webservers auf deinem Rechner. Wenn das DocumentRoot-Verzeichnis der betreffenden Domain ganz woanders liegt, kannst du diese auch auf die lokale IP-Adresse 127.0.0.1 auflösen lassen, indem du einen entsprechenden Eintrag in der hosts Datei machst (unter Linux /etc/hosts):

127.0.0.1       example.com

... und dann den Browser neu startest. Danach stellt dein Browser die Anfragen bez. dieser Domain über die IP-Adresse 127.0.0.1

Das funktioniert aber wie gesagt nur, wenn die Rechnungen auf demselben Rechner liegen, von dem du aus auch mit dem Browser zugreifen möchtest.

Also dachte ich das mit einer .htaccess-Datei zu lösen, sodass nur von 'localhost', also von diesem Kundenzugang aus, Zugriff auf die Dateien möglich sein soll, nicht aber per direktem Aufruf (Link mit httpd://...)

Naja, ein Zugriff von localhost wäre in diesem Fall, wenn der Server selbst diese Datei abruft. Der Kunde hat ja weiterhin seine eigene IP-Adresse.

Einen abgesicherten Download könnte man dadurch realisieren, indem die PDF-Dateien in einem Verzeichnis gespeichert werden, von dem von außerhalb gar nicht zugegriffen werden kann. Stattdessen wird ein Download-Script verlinkt, welchem der Name des PDF als Parameter übergeben wird. Das Script prüft (z.B. anhand der Session), ob der User berechtigt ist, das PDF herunterzuladen, und liest es dann aus dem Verzeichnis ein, um es dem User zuzusenden. In PHP kann man so etwas z.B. mit der Funktion readfile() realisieren

Mit den Suchbegriffen "download script" lassen sich auch Beispiel-Scripte finden.