Apache2 mod_mellon：如何在CustomLog中获取MELLON_NAME_ID记录用户UPN？

问题核心原因 #

你遇到的问题主要来自两点：

1. 变量名不匹配：MELLON_NAME_ID对应SAML协议的NameID字段，但Azure默认返回的NameID不一定是用户的UPN（UserPrincipalName），需要先确认UPN对应的属性映射关系。
2. 日志记录时机过早：Apache默认的CustomLog在请求处理的早期阶段（post-read-request）执行，而mod_mellon是在认证阶段（authz）才设置环境变量，此时日志已经生成，自然无法获取到变量值。

解决步骤 #

1. 正确映射Azure的UPN属性到mod_mellon环境变量 #

首先确保mod_mellon能捕获到Azure返回的UPN属性，添加如下配置：

# 将Azure SAML响应中的UserPrincipalName属性映射为MELLON_UPN环境变量
MellonVariableMap "UPN" "UserPrincipalName"

如果不确定Azure返回的属性名，可以开启mod_mellon的环境变量调试：

MellonDumpEnvironment On

重启Apache后，访问受保护的资源，查看Apache错误日志，会输出所有mod_mellon设置的环境变量，确认MELLON_UPN是否存在。

2. 调整日志配置以获取认证后的环境变量 #

有两种可靠的实现方式：

方式一：在受认证保护的Location块内配置日志

将CustomLog放在需要SAML认证的<Location>或<Directory>块中，这样只有经过认证的请求才会触发日志记录，此时mod_mellon的环境变量已经被设置：

<Location /your-protected-path>
    AuthType Mellon
    MellonEnable auth
    # 自定义日志格式，包含UPN
    CustomLog /var/log/apache2/myhost_request.log "%t %h %{MELLON_UPN}e %{SSL_PROTOCOL}x %{SSL_CIPHER}x %H \"%r\" %b"
</Location>

方式二：通过rewrite将环境变量转为请求头后记录

如果需要在全局日志中记录UPN，可以用mod_rewrite将mod_mellon的环境变量复制为请求头，再在日志中记录该请求头：

RewriteEngine On
# 仅当MELLON_UPN存在时，设置自定义请求头X-User-UPN
RewriteCond %{ENV:MELLON_UPN} !=""
RewriteRule ^ - [E=HTTP_X_USER_UPN:%{ENV:MELLON_UPN}]

# 全局日志配置，使用请求头记录UPN
CustomLog /var/log/apache2/myhost_request.log "%t %h %{X-User-UPN}i %{SSL_PROTOCOL}x %{SSL_CIPHER}x %H \"%r\" %b"

验证 #

重启Apache后，访问受保护的资源，查看目标日志文件，确认UPN字段已被正确记录。

内容的提问来源于stack exchange，提问作者ChrisTG74