macOS下Apache+PHP非本地IP单登录 解决重定向循环问题

在搭载Homebrew的macOS笔记本上搭建了运行Apache 2.4和PHP 8.2的Web服务器，包含多个测试与开发站点。希望对非本地IP的访问强制单登录，因Basic Authentication存在密码明文存储于$_SERVER["PHP_AUTH_PW"]的安全问题，故自行编写登录脚本。

在Web根目录（/var/www/html）的.htaccess中配置了如下规则：

RewriteEngine  on
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0)
RewriteRule ^.+$ "/login.php" [L,QSA]

该规则会将服务器上所有页面（甚至图片）的非本地IP请求强制导向登录页。登录页代码如下：

<?php
require_once($_SERVER["DOCUMENT_ROOT"]."/path/to/loginfunction.php");  // contains auth_login()
$userdata = array("user"=>"thisuser", "md5password" => md5("thispass"));
$ok = auth_login($userdata, 60); 

if ($ok) {
    header("Location: " .$_SERVER["REDIRECT_URL"]);
    exit;
}

但这会导致无限重定向循环：登录脚本重定向回原页面后，又被.htaccess规则再次导向登录脚本。即使跳过登录检查直接将$ok设为true，循环仍存在。请问如何在不使用不安全Cookie的前提下，让Apache/PHP仅在登录成功后打破重定向循环？

核心思路是让Apache能识别已通过验证的请求，避免重复触发重定向。以下是两种无需不安全Cookie的实现方式：

方式一：Apache环境变量+PHP直接转发 #

1. 修改.htaccess规则，放行登录页并增加验证环境变量判断：

RewriteEngine  on
# 放行登录页本身，避免自循环
RewriteRule ^login.php$ - [L]
# 仅当非本地IP且未通过验证时，重定向到登录页
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0)
RewriteCond %{ENV:AUTH_VALIDATED} !^1$
RewriteRule ^.+$ "/login.php" [L,QSA]

2. 修改登录脚本，验证通过后设置环境变量并直接包含原页面代码，而非重定向（重定向会丢失环境变量）：

<?php
require_once($_SERVER["DOCUMENT_ROOT"]."/path/to/loginfunction.php");
$userdata = array("user"=>"thisuser", "md5password" => md5("thispass"));
$ok = auth_login($userdata, 60); 

if ($ok) {
    // 标记当前请求已通过验证
    apache_setenv('AUTH_VALIDATED', '1');
    // 直接加载原页面内容，跳过重定向
    $target_file = $_SERVER['DOCUMENT_ROOT'] . $_SERVER['REDIRECT_URL'];
    if (file_exists($target_file)) {
        require_once($target_file);
    }
    exit;
}

注：此方式仅对当前请求生效，刷新页面会重新触发验证，符合临时单登录的需求。

方式二：加密URL令牌标记验证状态 #

1. 修改.htaccess规则，放行带有有效加密令牌的请求：

RewriteEngine  on
RewriteCond %{REMOTE_ADDR} !(^\:\:1|127\.0)
# 校验URL是否携带有效格式的验证令牌（可自定义令牌规则）
RewriteCond %{QUERY_STRING} !auth_token=[a-f0-9]{32}$
RewriteRule ^.+$ "/login.php" [L,QSA]

2. 修改登录脚本，验证通过后生成加密令牌并拼接到原URL跳转：

<?php
require_once($_SERVER["DOCUMENT_ROOT"]."/path/to/loginfunction.php");
$userdata = array("user"=>"thisuser", "md5password" => md5("thispass"));
$ok = auth_login($userdata, 60); 

if ($ok) {
    // 用密钥+时间戳生成加密令牌，防止伪造
    $secret = 'your_custom_secret_key';
    $token = md5(time() . $secret);
    // 拼接令牌到原URL
    $redirect_url = $_SERVER["REDIRECT_URL"] . '?auth_token=' . $token;
    header("Location: " . $redirect_url);
    exit;
}

可优化点：在PHP中增加令牌有效期校验，比如判断时间戳是否在10分钟内，避免令牌被长期复用。

内容的提问来源于stack exchange，提问作者php and js