基于Shibboleth与Apache配置Twiki SSO：REMOTE_USER映射配置求助

我之前帮团队搞定过Twiki+Shibboleth的SSO整合，刚好踩过这个映射的坑，给你一步步梳理具体操作：

1. 先确认Shibboleth已经正确传递用户标识 #

在折腾Twiki配置前，得先确保Shibboleth和Apache的整合没问题，能把用户信息传给Twiki。你可以在twiki/bin目录下新建一个简单的测试脚本test.cgi（权限要和其他Twiki CGI脚本一致，比如chmod 755 test.cgi）：

#!/usr/bin/perl
print "Content-type: text/plain\n\n";
print "REMOTE_USER 值: " . ($ENV{'REMOTE_USER'} || '未获取到') . "\n";
print "\n所有环境变量:\n";
foreach my $key (sort keys %ENV) {
    print "$key: $ENV{$key}\n";
}

访问这个脚本（比如http://你的Twiki地址/bin/test.cgi），看看能不能看到REMOTE_USER的内容，以及Shibboleth传递的其他属性（比如eppn、mail这类）。如果这一步拿不到REMOTE_USER，得先排查Shibboleth和Apache的配置，比如shibboleth2.xml里的属性释放、httpd.conf里的Shibboleth模块加载是否正确。

2. 配置Twiki的LocalSite.cfg映射REMOTE_USER #

Twiki靠ApacheLogin管理器来对接SSO，你需要先确保登录管理器配置正确，再添加映射规则：

# 启用Apache登录管理器（替换默认的TemplateLogin）
$TWiki::cfg{LoginManager} = 'TWiki::LoginManager::ApacheLogin';
# 开启REMOTE_USER映射功能
$TWiki::cfg{MapREMOTE_USER} = 1;

# 关键：根据Shibboleth传递的REMOTE_USER格式做转换
# 举几个常见场景：
# 场景1：REMOTE_USER是邮箱（比如user@company.com），要转成Twiki标准用户名（UserCompany）
$TWiki::cfg{REMOTE_USER_map} = sub {
    my $remote_user = shift;
    # 去掉邮箱域名
    $remote_user =~ s/@company\.com$//i;
    # 首字母大写，其他小写（Twiki用户名通常是驼峰或首字母大写）
    $remote_user =~ s/^(.)/\u$1/;
    $remote_user =~ s/(.)/\l$1/g;
    $remote_user =~ s/\s//g; # 去掉空格
    return $remote_user;
};

# 场景2：REMOTE_USER已经是符合Twiki格式的用户名，直接返回
# $TWiki::cfg{REMOTE_USER_map} = sub { return shift; };

这里的核心是MapREMOTE_USER设为1，然后用REMOTE_USER_map的匿名函数（或正则）把Shibboleth传来的用户标识转换成Twiki能识别的用户名（Twiki用户名不允许特殊字符，通常是首字母大写的格式）。

3. 确认.htaccess的保护规则生效 #

你修改的twiki/bin/.htaccess.txt要重命名为.htaccess，并且里面要配置让Shibboleth保护Twiki的敏感路径，比如登录、编辑、保存页面的CGI：

# 对需要登录的Twiki操作强制Shibboleth认证
<FilesMatch "(login|edit|save|upload|manage)\.cgi">
  AuthType shibboleth
  ShibRequestSetting requireSession 1
  Require valid-user
</FilesMatch>

这样用户访问这些页面时，会自动跳转到Shibboleth的认证页面，认证通过后Apache会把REMOTE_USER传给Twiki。

4. 测试与调试 #

配置完后，重启Apache和Shibboleth服务：

# 重启Apache（根据你的系统调整命令）
systemctl restart httpd
# 重启Shibboleth
systemctl restart shibd

然后访问Twiki的编辑页面，应该会自动跳转到Shibboleth认证，成功后直接进入Twiki的登录状态。如果有问题，去看这几个日志：

• Apache错误日志：/var/log/httpd/error_log 或 /var/log/apache2/error.log
• Shibboleth日志：/var/log/shibboleth/shibd.log
• Twiki日志：twiki/data/logs目录下的日志文件

另外，如果你希望SSO用户能自动在Twiki创建账号，可以在LocalSite.cfg里加：

# 允许自动创建SSO用户
$TWiki::cfg{Register}{AllowLoginName} = 1;
$TWiki::cfg{Register}{AutoLogin} = 1;

最后提醒一句：切换到ApacheLogin后，Twiki原来的本地用户名密码登录就失效了，所有登录都走Shibboleth，所以要确保Shibboleth的认证流程是正常的。

内容的提问来源于stack exchange，提问作者Developer