Apache Mellon（SAML2）授权条件不满足时仍执行相关命令的问题咨询

你好呀，我来帮你分析下这个问题~

你遇到的核心问题，其实是Apache配置指令的处理阶段差异导致的：

Apache的配置指令分为两类：

• 配置阶段指令：这类指令在Apache启动/reload时就会被解析生效，不管后续的请求条件（比如<If>里的判断）。Mellon模块的大部分核心配置指令（比如MellonEndpointPath、MellonSPMetadataFile、甚至MellonEnable）都属于这一类。
• 运行阶段指令：这类指令是在每个请求处理时动态判断执行的，会受<If>条件的控制，比如你测试用的Header指令就属于这类。

所以你之前的配置里，虽然把Mellon的指令放在了<If "!%{QUERY_STRING} =~ /api/">块里，但Apache在启动时就已经解析并加载了这些Mellon配置，相当于全局启用了Mellon认证，这就导致API请求也会触发Mellon的认证流程，进而出现重定向到/mellon/和内部错误的情况。

解决方法 #

我们可以把Mellon的配置拆分，将基础配置（全局生效的部分）和请求级的认证控制分开：

方案一：用SetEnvIf结合Require指令实现条件认证

这种方式更简洁，适合大多数场景：

# 先把Mellon的基础配置放在全局（或虚拟主机级别），启动时加载
MellonEndpointPath /mellon/
MellonSPMetadataFile /home/mellon_metadata.xml
MellonSPPrivateKeyFile /home/mellon_metadata.key
MellonSPCertFile /home/mellon_metadata.cert
MellonIdPMetadataFile /home/Entity_2023.xml
MellonUser "UID"

<Location />
    # 匹配QUERY_STRING以api开头的请求，设置一个标记环境变量
    SetEnvIf Query_String "^api" NO_MELLON_AUTH=1

    # 全局启用Mellon认证框架
    AuthType Mellon
    MellonEnable auth

    # 允许两种请求：已通过Mellon认证的用户，或者带有NO_MELLON_AUTH标记的API请求
    Require valid-user
    Require env NO_MELLON_AUTH
</Location>

方案二：用<If>条件控制运行时认证逻辑

如果更倾向于用<If>的写法，记得只把运行时的认证指令放在条件块里，基础配置放在外面：

# 全局Mellon基础配置
MellonEndpointPath /mellon/
MellonSPMetadataFile /home/mellon_metadata.xml
MellonSPPrivateKeyFile /home/mellon_metadata.key
MellonSPCertFile /home/mellon_metadata.cert
MellonIdPMetadataFile /home/Entity_2023.xml
MellonUser "UID"

<Location />
    <If "!%{QUERY_STRING} =~ /api/">
        Header set FOO "inside SAM request"
        AuthType Mellon
        MellonEnable auth
        Require valid-user
    </If>

    <If "%{QUERY_STRING} =~ /api/">
        Header set FOO "API Request - No Mellon Auth"
        # API有自己的认证机制，这里不需要额外设置Mellon相关指令
    </If>
</Location>

这样配置后，API请求就不会触发Mellon的认证流程，而其他请求正常走SAML授权，同时Mellon的基础配置也能正常加载，不会出现内部错误啦。

备注：内容来源于stack exchange，提问作者filip.karas