如何配置Apache2反向代理校验PHP $_SESSION登录状态控制访问

不能仅通过修改现有配置中的Auth*基础认证规则，直接校验PHP$_SESSION中的loggedin字段作为反向代理放行依据。

Apache原生的Basic、Digest等内置Auth模块本身不具备解析PHP运行时Session的能力，和PHP的会话体系完全独立，你当前配置里的认证逻辑完全依赖.htpasswd文件的账号密码校验，和PHP代码里设置的$_SESSION变量没有任何原生打通的通道，没法直接靠改Auth规则实现需求。

可落地的实现方案 #

方案一：rewrite前置校验（配置最简单，适配性最强） #

直接抛弃原有Basic认证逻辑，用Apache的rewrite模块把所有需要走代理的请求先转发到本地PHP校验脚本，由PHP判断登录态后决定放行还是拦截，步骤如下：

• 确保Apache已启用所需模块：

a2enmod rewrite proxy proxy_http
systemctl restart apache2

• 替换原有站点配置为如下内容：

<VirtualHost *:80>
    ProxyRequests Off
    ProxyPreserveHost On

    RewriteEngine On
    # 登录页、静态资源、校验脚本本身不走代理，直接访问本地文件
    RewriteRule ^/(login\.php|static/.*|check_auth\.php)$ - [L]
    # 其余所有请求先转发到本地校验脚本
    RewriteRule .* /check_auth.php [L]
    # 校验通过后内部代理转发到内网后端服务
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule ^(.*)$ http://127.0.0.1:1234$1 [P,L]

    ProxyPassReverse / http://127.0.0.1:1234/

    <Proxy *>
        Require all granted
    </Proxy>
</VirtualHost>

• 在站点本地根目录新建check_auth.php，做登录态校验：

<?php
session_start();
// 校验Session中的登录标记
if (isset($_SESSION['loggedin']) && $_SESSION['loggedin'] === true) {
    // 登录态有效，交给Apache转发到后端对应路径
    $requestUri = $_SERVER['REQUEST_URI'];
    header("X-Accel-Redirect: http://127.0.0.1:1234{$requestUri}");
    exit;
}
// 登录态无效，跳转到登录页
http_response_code(403);
header("Location: /login.php");
exit;
?>

方案二：mod_auth_form打通会话（更贴近原生Auth逻辑） #

如果想保留Apache原生Auth的处理逻辑，可以启用mod_auth_form模块，把认证校验逻辑指向PHP接口，复用PHP Session：

• 启用依赖模块：

a2enmod auth_form session session_cookie
systemctl restart apache2

• 调整站点配置，核心是将Auth的校验逻辑指向本地PHP接口，由PHP返回200/401状态码告知Apache是否放行，和上面的校验逻辑类似，只是接入了Apache的Auth流程，登录失败的跳转、错误页可以直接复用Apache的原生规则。

避坑提示 #

• 不要尝试让Apache直接读取磁盘上的PHP Session文件做校验：PHP Session的存储格式随版本、存储驱动（文件/Redis/数据库）变化极大，直接解析稳定性极差，维护成本极高。
• 内网后端服务的1234端口务必只绑定127.0.0.1，禁止公网直接访问，避免反向代理被绕过。
• 生产环境建议同时给站点配置HTTPS，给Session Cookie加上Secure、HttpOnly属性，防止登录态被窃。

内容的提问来源于stack exchange，提问作者gilex