单台Apache的Mod_auth_openidc模块能否配置多应用对应多个Client ID？

方案1：按路径分块配置（最常用） #

• 适用场景：不同应用路径对应不同Okta OIDC应用，同一个Apache实例部署多个业务系统
• 配置说明：全局仅配置通用OIDC参数（例如同一Okta租户的元数据地址、缓存配置等），每个<Location>业务路径块下单独配置对应应用的OIDCClientID、OIDCClientSecret
• 配置示例：

# 全局通用配置（同Okta租户可复用）
OIDCProviderMetadataURL https://<你的Okta域名>/.well-known/openid-configuration
OIDCRedirectURI /oauth2callback
OIDCCryptoPassphrase <自定义随机加密串>

# 应用1：对应路径/app1，使用Okta应用1的凭证
<Location /app1>
   AuthType openid-connect
   Require valid-user
   OIDCClientID <Okta应用1的ClientID>
   OIDCClientSecret <Okta应用1的ClientSecret>
</Location>

# 应用2：对应路径/app2，使用Okta应用2的凭证
<Location /app2>
   AuthType openid-connect
   Require valid-user
   OIDCClientID <Okta应用2的ClientID>
   OIDCClientSecret <Okta应用2的ClientSecret>
</Location>

方案2：按虚拟主机分配置 #

• 适用场景：不同域名对应不同Okta OIDC应用，同一个Apache实例绑定多个业务域名
• 配置说明：每个<VirtualHost>块内单独配置整套OIDC参数，包括OIDCClientID、OIDCClientSecret、回调地址等，不同虚拟主机的配置完全隔离
• 配置示例片段：

<VirtualHost *:443>
   ServerName app1.example.com
   OIDCProviderMetadataURL https://<你的Okta域名>/.well-known/openid-configuration
   OIDCRedirectURI https://app1.example.com/oauth2callback
   OIDCCryptoPassphrase <加密串1>
   OIDCClientID <Okta应用1的ClientID>
   OIDCClientSecret <Okta应用1的ClientSecret>
   <Location />
      AuthType openid-connect
      Require valid-user
   </Location>
</VirtualHost>

<VirtualHost *:443>
   ServerName app2.example.com
   OIDCProviderMetadataURL https://<你的Okta域名>/.well-known/openid-configuration
   OIDCRedirectURI https://app2.example.com/oauth2callback
   OIDCCryptoPassphrase <加密串2>
   OIDCClientID <Okta应用2的ClientID>
   OIDCClientSecret <Okta应用2的ClientSecret>
   <Location />
      AuthType openid-connect
      Require valid-user
   </Location>
</VirtualHost>

方案3：动态客户端选择（特殊场景） #

• 适用场景：同一路径下需要支持多个Okta应用登录，例如根据用户所属租户/群体分配不同登录入口
• 配置说明：使用OIDCDiscoverURL参数指向自定义的应用选择页面，用户选择对应应用后，mod_auth_openidc会根据返回的参数匹配对应的客户端配置，需要配合OIDCClientIDQueryParam等参数使用，适合复杂多租户场景。

注意事项 #

• 不同应用的OIDCRedirectURI需要提前录入对应Okta OIDC应用的重定向URI白名单，否则会被Okta拦截返回错误
• 若多个应用共享同一个回调路径，需要确保回调路径的权限配置正确，避免出现跨应用的授权串扰
• OIDCClientSecret属于敏感信息，不建议直接明文写在Apache配置文件中，可使用Apache环境变量或配置加密工具存储

内容的提问来源于stack exchange，提问作者Rishav