Apache如何还原经URL编码的客户端证书？

问题根源 #

你遇到的核心问题是：Apache的RequestHeader unescape默认不会解码%2F（斜杠的URL编码），而AllowEncodedSlashes仅控制URL路径中的斜杠处理，和请求头的解码逻辑无关；直接用SetEnvIfNoCase只能原样读取编码后的请求头内容，无法完成全量解码。

最优解决方案：通过mod_rewrite实现全量解码 #

mod_rewrite的unescape函数可以处理所有URL编码字符（包括%2F），适合用来解码客户端证书并注入环境变量：

1. 启用必要的Apache模块
   确保mod_rewrite和mod_env已启用（以Debian/Ubuntu为例）：

   a2enmod rewrite env
   systemctl restart apache2
   

2. 添加Apache配置规则
   在你的虚拟主机配置文件或.htaccess中加入以下配置：

   RewriteEngine On
   # 捕获X-SSL-CERT请求头，全量解码后存入SSL_CLIENT_CERT环境变量
   RewriteCond %{HTTP:X-SSL-CERT} (.+)
   RewriteRule ^ - [E=SSL_CLIENT_CERT:%{unescape:%1}]
   

   这条规则会先捕获X-SSL-CERT的完整内容，再通过%{unescape:%1}解码所有URL编码字符，最后将解码后的证书写入SSL_CLIENT_CERT环境变量，完全符合OpenXPKI的要求。

3. 验证结果
   可以在Perl应用中打印环境变量确认：

   print $ENV{'SSL_CLIENT_CERT'};
   

   正常情况下会输出标准格式的证书内容：-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----。

替代方案：应用层解码（不推荐） #

如果无法修改Apache配置，可在OpenXPKI的Perl代码中直接解码请求头：

use URI::Escape;
# 读取编码后的证书头
my $encoded_cert = $ENV{'HTTP_X_SSL_CERT'};
# 全量解码
my $decoded_cert = uri_unescape($encoded_cert);
# 注入到要求的环境变量
$ENV{'SSL_CLIENT_CERT'} = $decoded_cert;

优先推荐Apache配置层面的解决方案，避免侵入业务代码。

内容的提问来源于stack exchange，提问作者harmv