如何通过.htaccess验证PHP会话状态并控制页面访问？

要实现通过.htaccess调用PHP脚本验证$_SESSION['user']的活跃状态，核心是用mod_rewrite将请求先导向验证脚本，脚本通过后放行原请求，否则返回404。具体步骤如下：

1. 编写会话验证脚本（session_check.php） #

将脚本放在网站根目录，内容如下：

<?php
session_start();

// 验证会话是否有效
if (!isset($_SESSION['user']) || empty($_SESSION['user'])) {
    http_response_code(404);
    exit("404 Not Found");
}

// 验证通过，加载原请求的资源
$target_file = $_SERVER['DOCUMENT_ROOT'] . $_SERVER['REQUEST_URI'];
if (file_exists($target_file) && is_readable($target_file)) {
    include $target_file;
} else {
    http_response_code(404);
    exit("404 Not Found");
}
?>

2. 配置.htaccess #

在网站根目录的.htaccess中添加以下规则（排除静态资源和脚本自身，避免循环）：

RewriteEngine On

# 排除无需验证的静态资源（可根据需求调整后缀）
RewriteCond %{REQUEST_URI} !\.(css|js|png|jpg|jpeg|gif|ico|svg)$ [NC]
# 排除验证脚本本身
RewriteCond %{REQUEST_URI} !^/session_check\.php$
# 将符合条件的请求转发到验证脚本
RewriteRule ^(.*)$ /session_check.php [L]

注意事项 #

• 确保Apache已启用mod_rewrite和mod_php（若用php-fpm，需保证会话文件存储路径对fpm进程有读写权限）。
• Debian默认PHP会话路径为/var/lib/php/sessions，属主需设置为www-data，确保PHP进程能读写会话文件。

RewriteMAP（尤其是prg类型的外部脚本）崩溃通常和脚本逻辑、权限、资源限制或Apache交互规则有关，按以下步骤排查：

1. 查看日志定位错误 #

• 查看Apache错误日志：tail -f /var/log/apache2/error.log，触发RewriteMAP调用后，日志会显示脚本崩溃的具体原因（如退出状态、错误输出）。
• 查看系统日志：grep -i oom /var/log/syslog，排查是否因脚本占用过多资源被OOM killer终止。

2. 验证脚本自身稳定性 #

• 手动运行脚本：直接执行/path/to/your/rewrite_map_script，输入测试字符串模拟Apache的请求，观察是否正常输出、是否崩溃。
• 检查脚本权限：确保脚本可执行（chmod +x /path/to/script），且Apache运行用户（www-data）能执行：sudo -u www-data /path/to/script。
• 确认交互逻辑：prg类型的RewriteMAP脚本需持续运行，从stdin读取请求、stdout输出结果，不能中途退出，否则Apache会判定脚本崩溃。

3. 排查资源与依赖问题 #

• 用strace跟踪执行：strace -f sudo -u www-data /path/to/script，查看系统调用过程中是否有依赖库缺失、文件无法访问等错误。
• 监控资源占用：运行脚本后用htop观察CPU、内存使用情况，排查是否存在内存泄漏或死循环。

4. 修正Apache配置 #

确保RewriteMAP定义正确，示例：

RewriteMap my_custom_map prg:/path/to/your/script.pl

注意脚本第一行需有正确的shebang（如#!/usr/bin/perl或#!/usr/bin/python3），保证系统能找到对应的解释器。

内容的提问来源于stack exchange，提问作者Pete Foerster