如何在Apache httpd证书认证失败时修改响应状态码

你之前用mod_rewrite无效的核心原因是：SSL客户端验证发生在HTTP请求处理的握手阶段，早于mod_rewrite的执行时机。当证书验证失败时，请求根本不会进入到mod_rewrite的处理流程，所以你的规则不会触发。

下面是两种可行的解决方案：

方案一：使用SSLVerifyClientErrorHandler（推荐） #

mod_ssl提供了SSLVerifyClientErrorHandler指令，专门用于处理SSL客户端验证错误，可以直接指定一个处理程序返回410状态码。

步骤1：创建一个简单的错误处理脚本 #

创建一个CGI脚本（比如/usr/local/apache/cgi-bin/ssl_410_handler.cgi），内容如下：

#!/usr/bin/perl
print "Status: 410 Gone\r\n";
print "Content-Type: text/html\r\n\r\n";
print "<!DOCTYPE HTML PUBLIC \"-//IETF//DTD HTML 2.0//EN\">\n";
print "<html><head>\n<title>410 Gone</title>\n</head><body>\n";
print "<h1>Gone</h1>\n";
print "<p>The requested resource is no longer available on this server.</p>\n";
print "</body></html>\n";

给脚本添加执行权限：

chmod +x /usr/local/apache/cgi-bin/ssl_410_handler.cgi

步骤2：修改VirtualHost配置 #

在你的SSL虚拟主机配置中添加该指令：

<VirtualHost *:443>
  SSLEngine on
  SSLCertificateFile /path/to/cert.pem
  SSLVerifyClient require
  SSLVerifyDepth 1

  # 指定验证错误的处理脚本
  SSLVerifyClientErrorHandler /cgi-bin/ssl_410_handler.cgi

  # ... 其他虚拟主机配置 ...
</VirtualHost>

方案二：结合SSLOptions和ErrorDocument #

如果不想用CGI脚本，可以通过配置让验证失败时返回403，再将403重写为410状态码。

修改VirtualHost配置：

<VirtualHost *:443>
  SSLEngine on
  SSLCertificateFile /path/to/cert.pem
  SSLVerifyClient require
  SSLVerifyDepth 1

  # 启用严格要求，确保验证失败时返回403 Forbidden
  SSLOptions +StrictRequire

  # 将403错误替换为410响应内容，并强制返回410状态码
  ErrorDocument 403 '<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"><html><head><title>410 Gone</title></head><body><h1>Gone</h1><p>The requested resource is no longer available on this server.</p></body></html>'
  Header always set Status "410 Gone" env=REDIRECT_STATUS

  # ... 其他虚拟主机配置 ...
</VirtualHost>

注意：这种方式需要确保mod_headers模块已经启用，可以通过a2enmod headers（Debian/Ubuntu）或修改httpd.conf加载该模块。

内容的提问来源于stack exchange，提问作者kittonian