如何配置Apache日志仅记录用户名，避免Authorization头泄露密码？

需求完全可以实现，以下是两种场景的配置方案：

方案1：提取纯用户名（合规性最优） #

场景A：Apache本身处理Basic认证 #

直接修改日志格式配置，将原来的%{Authorization}i替换为%u即可。%u是Apache内置变量，仅输出经过认证的用户名，不会包含任何密码相关内容。

场景B：Apache仅转发/记录Authorization头（如反向代理场景） #

需要启用mod_rewrite、mod_headers模块，添加如下配置：

RewriteEngine On
# 提取Basic认证的base64编码内容存入环境变量
RewriteCond %{HTTP:Authorization} ^Basic\s+([A-Za-z0-9+/=]+)
RewriteRule ^ - [E=AUTH_B64:%1]

# 解码后拆分用户名存入环境变量（仅Apache 2.4+支持）
RequestHeader set X-Temp-Username expr=%{base64:%{ENV:AUTH_B64}}
SetEnvIf X-Temp-Username "^([^:]+):" LOG_USERNAME=$1

# 可选：清理临时请求头避免泄露
RequestHeader unset X-Temp-Username

修改LogFormat配置，使用%{LOG_USERNAME}e输出纯用户名。

方案2：仅记录Authorization头前10个字符（配置最简兜底方案） #

无需额外模块，所有Apache版本均支持，直接修改LogFormat配置，将原来的%{Authorization}i替换为%0.10{Authorization}i即可。该配置会自动截取Authorization头的前10个字符，超出部分直接截断，完全满足合规要求。

内容的提问来源于stack exchange，提问作者Stackuser