如何在Apache与PHP间实现跨请求环境变量传递？

需求背景 #

在运行Apache 2.4和PHP 8.2的服务器上，为整个webroot添加登录拦截机制：

• 仅当客户端为户外IP（非10.0.0.0/8、192.168.0.0/16、127.0.0.0/8、::1等内网IP）时触发拦截
• 未登录状态下所有页面强制跳转到登录页
• 使用动态生成的唯一Cookie名（由PHP登录页生成十六进制字符串），避免固定Cookie名被绕过

现有尝试及问题 #

已通过.htaccess的Rewrite规则实现IP判断，但核心的动态Cookie检查逻辑失效：

当前.htaccess规则 #

RewriteEngine  on
# 排除内网IP
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0|192\.168\.0\.0|10\.0)
# 匹配所有请求路径
RewriteCond %{REQUEST_URI} ^.*$ [NC]
# 尝试检查是否不存在指定Cookie（此处为问题核心）
RewriteCond expr "%{HTTP_COOKIE} -strcmatch '!*%{ENV:THECOOKIENAME}'"
# 满足条件则跳转登录页
RewriteRule $ /loginpage.php [L]

登录页loginpage.php核心逻辑 #

if ($cookiename = auth_login()) { // 验证登录并生成唯一Cookie名
    apache_setenv($cookiename, 1);   
    header("Location: " .$_SERVER["REQUEST_URI"]); 
    exit;
} else {
    apache_setenv($cookiename, "");   
    echo showloginprompt();
}

核心问题 #

Apache的环境变量是单次请求生命周期的，apache_setenv()、putenv()或$_ENV赋值的变量无法跨请求被Apache识别；同时$_SESSION无法在Apache配置（httpd.conf或.htaccess）中直接读取。

可行解决方案 #

方案1：PHP前置拦截（推荐，实现简单灵活） #

放弃在.htaccess中处理逻辑，改为通过PHP前置脚本拦截所有请求，完全规避Apache与PHP的跨请求变量传递问题。

步骤1：配置PHP自动前置拦截脚本

在.htaccess中添加：

# 所有PHP请求前置加载拦截脚本
php_value auto_prepend_file "/var/www/access_check.php"

步骤2：编写access_check.php拦截逻辑

<?php
// 1. 内网IP直接放行
$internalIpPatterns = [
    '/^::1$/',
    '/^127\./',
    '/^192\.168\./',
    '/^10\./'
];
$remoteAddr = $_SERVER['REMOTE_ADDR'];
foreach ($internalIpPatterns as $pattern) {
    if (preg_match($pattern, $remoteAddr)) {
        return;
    }
}

// 2. 排除登录页本身，避免循环跳转
if (str_ends_with($_SERVER['SCRIPT_NAME'], '/loginpage.php')) {
    return;
}

// 3. 验证登录状态：读取服务器端存储的有效Cookie名，检查是否存在对应Cookie
$clientId = hash('sha256', $remoteAddr . $_SERVER['HTTP_USER_AGENT']);
$cookieStoragePath = "/var/www/cookie_keys/{$clientId}";

// 无有效Cookie记录或对应Cookie不存在则跳转登录页
if (!file_exists($cookieStoragePath) || !isset($_COOKIE[trim(file_get_contents($cookieStoragePath))])) {
    header("Location: /loginpage.php");
    exit;
}
?>

步骤3：调整登录页loginpage.php逻辑

<?php
if ($cookiename = auth_login()) {
    // 生成客户端唯一标识，避免不同用户Cookie名冲突
    $clientId = hash('sha256', $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT']);
    // 存储Cookie名到服务器文件（确保Apache有读取权限）
    file_put_contents("/var/www/cookie_keys/{$clientId}", $cookiename);
    // 设置HttpOnly Cookie增强安全性
    setcookie($cookiename, 'authorized', time() + 86400, '/', '', false, true);
    header("Location: " . $_SERVER["REQUEST_URI"]);
    exit;
} else {
    echo showloginprompt();
}
?>

方案2：服务器端存储+Apache RewriteMap #

通过服务器端文件/缓存存储动态Cookie名，再用RewriteMap让Apache读取该值进行判断（需修改Apache主配置）。

步骤1：配置Apache RewriteMap

在httpd.conf中添加：

# 定义RewriteMap，调用PHP脚本获取当前客户端的有效Cookie名
RewriteMap getValidCookieName "prg:/usr/bin/php-cgi /var/www/get_cookie_name.php"

步骤2：编写get_cookie_name.php脚本

<?php
$clientId = hash('sha256', $_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT']);
$cookieFile = "/var/www/cookie_keys/{$clientId}";
echo file_exists($cookieFile) ? trim(file_get_contents($cookieFile)) : '';
?>

步骤3：修改.htaccess规则

RewriteEngine on
# 排除内网IP
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0|192\.168\.0\.0|10\.0)
# 排除登录页
RewriteCond %{REQUEST_URI} !^/loginpage.php$ [NC]
# 存在有效Cookie名且客户端未携带该Cookie时跳转
RewriteCond ${getValidCookieName:%{REMOTE_ADDR}|%{HTTP_USER_AGENT}} !^$
RewriteCond expr "!%{HTTP_COOKIE} -strcmatch '*${getValidCookieName:%{REMOTE_ADDR}|%{HTTP_USER_AGENT}}*'"
RewriteRule ^ /loginpage.php [L]

方案3：使用Apache mod_session模块（进阶） #

若服务器已启用mod_session，可将登录状态存储到Apache会话中，直接在Rewrite规则中检查：

步骤1：配置mod_session（httpd.conf）

LoadModule session_module modules/mod_session.so
LoadModule session_cookie_module modules/mod_session_cookie.so

Session On
SessionCookieName session path=/;httponly;secure
SessionSerializeHandler php

步骤2：PHP登录时写入Apache会话

<?php
if ($cookiename = auth_login()) {
    $_SESSION['authorized'] = true;
    setcookie($cookiename, 'authorized', time() + 86400, '/', '', false, true);
    header("Location: " . $_SERVER["REQUEST_URI"]);
    exit;
}
?>

步骤3：修改.htaccess规则

RewriteEngine on
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0|192\.168\.0\.0|10\.0)
RewriteCond %{REQUEST_URI} !^/loginpage.php$ [NC]
RewriteCond %{SESSION:authorized} !^true$
RewriteRule ^ /loginpage.php [L]

关键注意事项 #

1. 服务器端存储Cookie名的目录需设置严格权限，避免被非授权用户读取，同时定期清理过期记录。
2. 优先选择方案1，无需修改Apache主配置，逻辑更易维护和扩展。
3. 所有Cookie建议启用HttpOnly和Secure属性，提升安全性。

内容的提问来源于stack exchange，提问作者php and js