如何基于源IP范围用Apache取消Authorization头限制JIRA API外部Basic Auth？

我之前也踩过类似的坑——直接用Location拦截/rest/api/2/的话，连JIRA前端UI发起的请求也被挡了，毕竟这些请求来自用户的浏览器IP，不在你的10.段内网范围里。要解决这个问题，核心思路是只对外部IP的请求移除Basic Auth的Authorization头，让内部IP的请求（包括JIRA自身的服务间调用）正常通过。

下面是具体的配置步骤和原理说明：

1. 先标记内部IP请求 #

用SetEnvIf指令给来自10.段内网的请求打上标识，后续可以基于这个标识做条件化处理：

# 给10.开头的内网IP请求设置环境变量标记
SetEnvIf Remote_Addr "^10\." INTERNAL_REQUEST=1

2. 条件化移除Authorization头 #

只对非内网IP的请求执行移除Auth头的操作，内网请求的Auth头会完整保留，这样JIRA自身的API调用就不会出问题了：

# 仅当请求不是来自内网IP时，移除Authorization头
RequestHeader unset Authorization "expr=-z %{ENV:INTERNAL_REQUEST}"

3. （可选）叠加API路径访问限制 #

如果想进一步加固，还可以结合Apache 2.4+的Require指令，给API路径加一层IP白名单，和上面的头配置形成双重保障：

<Location "/rest/api/2/">
    # 只允许10.段内网IP访问API
    Require ip 10.0.0.0/8
</Location>

为什么这个方案能解决你的UI问题？ #

• 你遇到的issue/picker接口报错，是因为JIRA前端UI发起的请求来自用户浏览器，若用户是内网IP，请求会被标记为内部请求，Auth头保留，接口正常响应；
• 外部用户的请求IP不在10.段，Authorization头会被直接移除，即便他们输入了正确的账号密码，JIRA也无法识别Basic Auth，从而拒绝API访问；
• 完全避开了直接拦截整个API路径导致的UI故障，内网用户的正常使用不受影响。

快速验证方法 #

可以用curl分别从内网和外网测试：

• 内网测试：curl -u 你的账号:密码 http://你的JIRA域名/rest/api/2/myself —— 应该返回用户信息，说明Auth有效；
• 外网测试：curl -u 你的账号:密码 http://你的JIRA域名/rest/api/2/myself —— 应该返回401未授权，说明Auth头已被移除，认证失败。

内容的提问来源于stack exchange，提问作者Taylor Huston