如何配置Apache Rewrite规则仅允许指定returnURL，其余返回403

原有规则错误原因 #

• 逻辑完全反向：原有规则设定为匹配到合法returnURL时返回403，和需求完全相反
• 未适配参数编码特性：请求中携带的returnURL值为URL编码格式（如:编码为%3A、/编码为%2F），原有规则直接匹配明文http://无法命中任何实际请求，导致规则完全不生效
• 匹配逻辑存在漏洞：未覆盖合法域名下带路径的场景，也没有排除恶意拼接的异常参数

修复后规则 #

# 匹配URL编码格式的returnURL参数，非白名单域名返回403
RewriteCond %{QUERY_STRING} (?:^|&)returnURL=(?!https?%3A%2F%2Fmy\.return\.site\.com(?:[&%]|$)) [NC]
RewriteRule ^ - [R=403,L]

# 可选：兼容明文未编码的returnURL参数场景
RewriteCond %{QUERY_STRING} (?:^|&)returnURL=(?!https?://my\.return\.site\.com(?:[&/]|$)) [NC]
RewriteRule ^ - [R=403,L]

规则说明 #

• 采用负向预查逻辑：仅当returnURL的前缀不是白名单域名时，才触发403返回，符合“只允许指定域名访问”的需求
• 前缀匹配(?:^|&)returnURL=：精准定位returnURL参数，避免匹配到名称相似的异常参数
• 后缀边界判断(?:[&%]|$)：确保白名单域名不会被恶意拼接在其他字符串中间，同时兼容域名后带路径、带其他参数的场景
• NC标识：忽略参数大小写，兼容http/HTTP、returnURL/ReturnUrl等不同写法

验证注意项 #

• 确保Apache已开启rewrite模块，执行a2enmod rewrite可开启（Debian/Ubuntu环境）
• 规则可直接放在站点根目录的.htaccess文件，或虚拟主机配置的<Directory>段内

内容的提问来源于stack exchange，提问作者Krishna Kishore Musle