Apache2部署的osTicket实现OAuth2遇/api/oauth重定向失败求助

问题描述 #

我在Apache2服务器上部署的osTicket中配置OAuth2，已按照官方osTicket OAuth2插件文档完成操作，但用户通过IdP认证后，应用无法重定向到/api/oauth端点，服务器无法识别该URL。OAuth2客户端插件后端无相关文档，本以为会自动配置，求后续排查步骤。

附我的Apache配置文件：

<VirtualHost *:80>
        ServerAdmin webmaster@localhost
        ServerName abc.com
        DocumentRoot /www/itsm

        RewriteEngine On
        RewriteCond %{HTTPS} off
        RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

        ErrorLog ${APACHE_LOG_DIR}/itsm_error.log
        CustomLog ${APACHE_LOG_DIR}/itsm_access.log combined

</VirtualHost>
<VirtualHost *:443>
        ServerAdmin webmaster@localhost
        ServerName abc.com
        DocumentRoot /var/www/osTicket/upload


        <Directory /www/itsm/>
                Options FollowSymLinks
                AllowOverride All
                Require all granted
        </Directory>
        #RewriteEngine On
        #RewriteCond %{HTTPS} off
        #RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
        ErrorLog ${APACHE_LOG_DIR}/itsm_error.log
        CustomLog ${APACHE_LOG_DIR}/itsm_access.log combined
    
    SSLEngine on
        SSLCertificateFile /etc/letsencrypt/live/abc.com/cert.pem
        SSLCertificateChainFile /etc/letsencrypt/live/abc.com/fullchain.pem
        SSLCertificateKeyFile /etc/letsencrypt/live/abc.com/privkey.pem


        <Directory "/var/www/osTicket/upload">
        AuthType Basic
        AuthName "Restricted Content"
        AuthUserFile /var/www/osTicket/upload/.htpasswd
        Require valid-user
        </Directory>
</VirtualHost>

排查与解决步骤 #

• 统一文档根目录：80端口虚拟主机的DocumentRoot是/www/itsm，但443端口是/var/www/osTicket/upload，路径不统一会导致路由解析混乱。将80端口的DocumentRoot改为/var/www/osTicket/upload，确保两个虚拟主机指向同一osTicket安装目录。
• 修正Directory配置：443虚拟主机中<Directory /www/itsm/>路径错误，应改为<Directory /var/www/osTicket/upload/>，同时确保AllowOverride All生效——这是osTicket URL重写规则生效的核心前提，否则/api/oauth这类路由无法被Apache解析。
• 启用HTTPS重写规则：取消443虚拟主机中RewriteEngine相关配置的注释，确保HTTPS跳转逻辑正常，同时检查osTicket安装目录下的.htaccess文件是否存在且包含官方默认的重写规则（默认配置会处理/api路径的路由），若文件丢失则从osTicket安装包中恢复。
• 移除全局Basic Auth拦截：当前443虚拟主机对整个osTicket目录设置了Basic Auth，IdP的回调请求（/api/oauth）不会携带Basic Auth凭证，会被直接拦截。暂时注释掉这部分Basic Auth配置，测试OAuth2流程；若需保护后台，仅对/scp这类特定路径设置认证即可。
• 验证API端点可用性：直接访问https://abc.com/api/oauth，查看返回错误类型。若为404，确认osTicket后台已激活OAuth2客户端插件，且API路由已正确加载。
• 检查Apache错误日志：查看${APACHE_LOG_DIR}/itsm_error.log，查找/api/oauth相关的具体错误信息（如重写规则失效、目录权限不足等）。确保/var/www/osTicket/upload/api目录的权限正确，Apache运行用户（通常为www-data）拥有读写权限。

内容的提问来源于stack exchange，提问作者Yash Bhardwaj