如何让Apache的If指令正确读取LDAP返回的环境变量？

问题场景 #

我在基于LDAP变量配置SSO请求，需要实现多用户映射到同一账号的逻辑：比如用户名字为Robert时，系统就以robert用户身份登录，其余用户按相同规则映射。
当前Apache服务其余功能全部运行正常，只有<If>指令始终无法正确读取目标LDAP变量，会将其识别为null值，导致判断逻辑一直执行失败。
初始配置如下：

<Location "/">
    AuthType Basic
    # 其余LDAP认证配置省略
    Require ldap-user %{variable-redacted}
    RequestHeader set Name %{env:AUTHORIZE_FirstName}s
</Location>

<If "%{env:AUTHORIZE_FirstName} in { 'Robert', 'John', 'Steve' }">
    RequestHeader set User "Admin"
</If>
<Else>
    RequestHeader set User "User"
</Else>

上述配置里，除了<If>判断始终返回false之外，其余配置都能正常生效，尝试过多种语法写法后可以确认，判断逻辑执行时读到的AUTHORIZE_FirstName变量始终为空。
反常的表现是，使用如下配置时：

<If "%{variableName} != 'John'">
    RequestHeader set user %{variableName}s
</If>

<If>块内部的RequestHeader指令反而可以正确读取变量值，设置对应的请求头。

问题根因 #

这个现象完全是Apache不同配置指令的执行阶段差异导致的：

• <If> 块的条件评估发生在请求处理的极早期阶段，此时LDAP认证流程还未启动，认证模块负责写入的AUTHORIZE_FirstName这类环境变量根本还没被赋值，所以判断时读到的永远是空值，自然无法命中预期的分支。
• 而<If>块内部的RequestHeader set指令执行时机非常靠后，是在全部认证、授权流程跑完，请求即将转发给后端服务的阶段才执行，这时候LDAP模块已经完成了环境变量赋值，所以块内引用变量可以拿到正确值。

验证可行的替代方案 #

由于mod_rewrite模块的RewriteCond、RewriteRule指令执行顺序和时机符合认证后的变量读取逻辑，可以用这组指令替代<If>实现需求：

• 先给用户变量设置普通用户的默认值
• 后续可根据业务需求持续追加匹配规则
• 最后通过RewriteCond判断当前用户是否属于管理员列表，修正用户标识
• 基于最终生成的用户变量设置转发给后端的请求头

配置注意：已经设置的请求头如果需要替换，必须先移除原有值才能重新设置；但环境变量可以在处理流程中反复修改覆盖。

踩过这个坑之后，后续有技术选型空间的话不会优先选择Apache实现这类认证映射场景。

内容的提问来源于stack exchange，提问作者Robert Cotterman