访问dev.example.com时Auth Basic重复要求凭证的原因排查

背景信息 #

• 需求：
  • 所有域名强制重定向至https://www开头的地址
  • dev.example.com等特定域名需验证Basic Auth密码
  • lb-example.com无需Auth验证
• 架构：dev.example.com → lb-example.com → 应用服务器
• 当前问题：访问dev.example.com时，浏览器会两次要求输入Auth密码

问题原因 #

1. 原配置中，dev.example.com请求会先触发Basic Auth验证，验证通过后才执行301重定向到www.dev.example.com
2. 重定向后的www.dev.example.com符合原<If>条件里的/dev\.example\.com$/正则匹配，导致再次触发Auth验证，出现两次弹窗
3. 配置未明确排除lb-example.com的Auth规则，存在潜在逻辑漏洞

修复后的Apache配置 #

RewriteEngine On

# 所有非www域名强制重定向到https://www开头地址
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^ https://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# 仅对指定的www域名启用Auth验证，同时排除lb-example.com
<If "%{HTTP_HOST} =~ /^www\.dev\.example\.com$/ && %{HTTP_HOST} !~ /lb-example\.com$/">
    AuthUserFile /usr/src/.htpasswd
    AuthType Basic
    AuthName "Password Protected"
    Require user XXX
</If>

配置说明 #

• 重定向优先执行：先完成域名重定向，确保用户最终访问的是www.xxx.example.com格式的统一域名，避免重定向前后多次触发Auth
• 精确匹配Auth域名：将Auth规则的匹配条件改为精确匹配www.dev.example.com，只对重定向后的最终域名验证，解决两次弹窗问题
• 明确排除无需验证的域名：通过正则排除所有lb-example.com相关域名，严格符合需求
• 扩展支持多域名：如果需要给test.example.com等其他域名也加Auth，可修改正则为%{HTTP_HOST} =~ /^www\.(dev|test)\.example\.com$/

额外提示 #

如果架构中的代理服务器（dev.example.com或lb-example.com）未开启Host头转发，需在代理配置中添加ProxyPreserveHost On（Apache代理）或对应Host转发规则（Nginx等），确保应用服务器能获取到用户访问的原始域名，保证Auth规则正常触发

内容的提问来源于stack exchange，提问作者debek