Apache规则生成Cookie求助：将JWT请求头转为Cookie

问题核心 #

你尝试通过RewriteRule环境变量、SetEnvIf两种方式将请求头中的JWT转为Cookie均失败；用Header add Set-Cookie能生成值正确的Cookie，但无法灵活配置路径、过期时间、安全属性等Cookie参数。

失败原因拆解 #

1. 第一种配置仅定义了环境变量，没有后续将变量转为Cookie的逻辑，等于无效配置；
2. 第二种配置存在两个问题：
   • 请求头名称写错（原配置写的X-Amzn-Oidc-Accesstoken少了一个-，正确应为X-Amzn-Oidc-Access-Token）；
   • 在RewriteRule的CO flag中引用变量时语法错误，需用%{ENV:变量名}的格式，而非%{TEST_VALUE}e。

可行配置方案 #

方案1：直接用RewriteCond捕获请求头生成Cookie

# 先捕获请求头中的JWT值
RewriteCond %{HTTP:X-Amzn-Oidc-Access-Token} (.+)
# 生成Cookie，参数按需调整
RewriteRule .* - [CO=jwt_cookie:%1:/:3600:HttpOnly:Secure]

CO flag参数说明（按顺序）：

• jwt_cookie：Cookie名称
• %1：引用RewriteCond捕获的JWT值
• /：Cookie生效路径
• 3600：过期时间（秒）
• HttpOnly：禁止前端JS读取，防XSS
• Secure：仅在HTTPS下传递（HTTP环境可去掉）

方案2：修正SetEnvIf+RewriteRule的配置

# 正确匹配请求头并赋值给环境变量
SetEnvIf X-Amzn-Oidc-Access-Token (.+) JWT_TOKEN=$1
# 用环境变量生成Cookie
RewriteRule .* - [CO=jwt_cookie:%{ENV:JWT_TOKEN}:/:3600:1]

必要检查项 #

• 确认Apache已加载mod_rewrite和mod_setenvif模块（执行apache2ctl -M查看）；
• 请求头名称必须完全匹配，Apache对请求头大小写敏感；
• 如果是反向代理场景，确保后端服务能接收并解析这个Cookie。

内容的提问来源于stack exchange，提问作者ITryHardAtLeast