Apache2.2配置特定URL免HTTP Basic Auth时mod_rewrite失效如何解决

问题描述 #

某子域名开启了HTTP Basic Auth认证，需允许所有访问者无需认证即可访问该子域名下/webhook/开头的路径，用于第三方调用webhook接口。

最初尝试用SetEnvIf Request_URI ^/webhook/ allow配合Allow from env=allow配置免认证规则，但所有访问都会弹出认证窗口。由于所有域名共用同一份.htaccess文件，存在rewrite规则将所有非静态资源请求重写至/boot.php入口，最初怀疑是重写导致Request_URI变化匹配失败，但测试直接配置SetEnv allow 1全局设置变量仍然触发认证，排除了URL匹配的问题。当前环境为Apache 2.2，暂无法升级。

根因分析 #

Apache 2.2版本中，mod_rewrite执行内部重定向后，所有请求处理前期设置的自定义环境变量都会被自动加上REDIRECT_前缀，原配置仅判断env=allow，无法匹配到重写后的REDIRECT_allow变量，因此所有请求都会触发认证逻辑。

修复方案 #

方案1：兼容重写后的环境变量判断 #

修改VirtualHost中<Directory>段的配置，增加重写后变量的匹配规则：

<Directory "/var/www/sub.ourdomain.co.uk/blah/www">
    SetEnvIf Request_URI ^/webhook/ allow

    AuthType Basic
    AuthName "Restricted Content"
    AuthUserFile /etc/httpd/passwords/sub.ourdomain.co.uk

    Order Deny,Allow
    Deny from all
    Satisfy any
    Require valid-user
    # 同时匹配原始请求和重写后的请求变量
    Allow from env=allow
    Allow from env=REDIRECT_allow
</Directory>

修改完成后重启Apache即可生效。

方案2：使用Location段直接豁免（优先级更高） #

如果方案1不生效，可以直接在VirtualHost配置中新增<Location>段，匹配原始请求路径直接关闭认证，不受重写逻辑影响：

<VirtualHost *:80>
    # ... 其余原有配置保持不变 ...

    <Location /webhook/>
        Satisfy Any
        Allow from all
        AuthType None
    </Location>
</VirtualHost>

该方案直接匹配原始请求的URI，优先级高于Directory和.htaccess中的规则，不需要修改原有认证配置，适配性更强。

内容的提问来源于stack exchange，提问作者BT643