Apache（Ubuntu Server）配置：如何用私钥访问HTTP受限区域？

先给你明确结论：传统的HTTP基本/摘要认证确实只支持「用户名+密码」的验证逻辑，本身不直接支持私钥认证，但你想要的「通过用户名+私钥访问受限区域」的需求是完全可以实现的，只是需要换用其他认证方案，下面给你两种适合非浏览器场景的常用实现思路：

方案一：SSH隧道+Apache内部认证（适合curl/wget这类命令行工具） #

如果你的客户端是用命令行工具访问，这种方式最简单：

• 先确保你的Ubuntu Server开了SSH服务，且客户端已经持有对应Ubuntu用户的SSH私钥（比如~/.ssh/id_rsa）
• 建立SSH隧道，把本地请求转发到服务器的Apache：

  ssh -L 8080:localhost:80 your-ubuntu-username@your-server-ip -i /path/to/your/private-key
  

• 之后在客户端访问http://localhost:8080/secure就行——SSH已经通过私钥验证了你的身份，Apache端可以用Require user your-ubuntu-username来限制访问，甚至直接信任本地转发的请求（因为隧道已经完成了身份校验）

方案二：TLS客户端证书认证（更通用的非浏览器场景） #

这种方式是让客户端通过SSL/TLS客户端证书（由你的私钥生成）完成认证，Apache验证证书有效性后放行：

1. 先给你的私钥生成客户端证书（可以自己签发CA，测试用足够，生产环境建议用可信CA）：

   # 生成CA私钥和证书
   openssl req -x509 -newkey rsa:4096 -keyout ca-key.pem -out ca-cert.pem -days 365 -nodes
   # 生成客户端私钥和证书签名请求
   openssl req -newkey rsa:4096 -keyout client-key.pem -out client-req.pem -nodes
   # 用CA签发客户端证书
   openssl x509 -req -in client-req.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 365
   

2. 修改Apache的SSL配置（先确保mod_ssl模块已启用），在/secure的Location块里添加：

   <Location "/secure">
       SSLEngine on
       # 强制要求客户端提供证书
       SSLVerifyClient require
       # 指定用来验证客户端证书的CA证书路径
       SSLCACertificateFile /path/to/ca-cert.pem
       # 可选：限制只有CN为指定用户名的证书能访问
       Require ssl-dn-common-name "your-ubuntu-username"
   </Location>
   

3. 客户端用curl访问时，指定证书和私钥：

   curl --cert client-cert.pem --key client-key.pem https://your-server-ip/secure
   

额外补充 #

如果非要把「用户名+私钥」和HTTP认证绑定，也可以用Apache的mod_authnz_external模块，写个外部脚本验证客户端提交的私钥是否对应用户名，但这种方式复杂度高，不如上面两种方案稳定可靠，不推荐新手尝试。

内容的提问来源于stack exchange，提问作者Marco Vasapollo