原来是Options Indexes FollowSymLinks，则访问某目录，如果这个目录下没有默认显示的文件，则会列出该目录下的文件名。
改为Options FollowSymLinks后就提示403 fobidden了。

Forbidden
You don't have permission to access /images/ on this server.
这样就相对安全些。