Apache：如何重写含斜杠的URL编码路径实现友好退出链接

我需要将繁琐的退出链接：

https://example.com/oauth2callback?logout=https%3A%2F%2Fexample.com%2Floggedout.html

（实际对应逻辑路径 /oauth2callback?logout=https://example.com/loggedout.html，其中logout参数必须经过URL编码）简化为用户可见的友好链接 https://example.com/keycloak/logout。

为此配置了以下Apache重写规则：

AllowEncodedSlashes On
RewriteRule ^/keycloak/logout$ /oauth2callback?logout=https%3A%2F%2Fexample.com%2Floggedout.html [L,QSA]

但规则不生效，开启重写调试后发现，Apache日志中生成的查询字符串变成了logout=httpsAFFexample.comFloggedout.html，编码信息完全丢失，最终请求返回404错误。

注意：/oauth2callback并非服务器上的真实文件路径，而是由mod_auth_openidc模块内部处理的路径。我曾尝试将AllowEncodedSlashes设为On或NoDecode，并添加PT、R、B等标志，但均未解决编码丢失的问题。

解决方案 #

核心原因 #

Apache的RewriteRule默认会对替换字符串中的URL编码字符进行二次解码，导致%3A（对应:）、%2F（对应/）被解析为原始字符，后续处理中又出现异常转义，最终丢失编码信息；同时未正确传递路径给mod_auth_openidc模块，导致404错误。

修正后的规则 #

AllowEncodedSlashes NoDecode
RewriteRule ^/keycloak/logout$ /oauth2callback?logout=https%3A%2F%2Fexample.com%2Floggedout.html [L,PT,NE]

各配置项说明 #

• AllowEncodedSlashes NoDecode：禁止Apache提前解码请求URL中的编码斜杠，确保整个重写流程中编码的完整性。
• NE（NoEscape）标志：强制Apache保留替换字符串中的原始URL编码字符，不对%3A、%2F进行二次转义或解码。
• PT（Pass Through）标志：让Apache将重写后的路径传递给后续模块（如mod_auth_openidc）处理，而非当作文件系统路径查找，解决404问题。

备选验证方案 #

如果上述规则仍有问题，可尝试通过RewriteCond构造查询字符串，确保参数编码完全保留：

AllowEncodedSlashes NoDecode
RewriteCond %{REQUEST_URI} ^/keycloak/logout$
RewriteRule ^(.*)$ /oauth2callback?logout=https%3A%2F%2Fexample.com%2Floggedout.html [L,PT,NE]

内容的提问来源于stack exchange，提问作者QF0