Apache 2.4.7能否用表达式匹配Request_URI指定LDAP组权限？

直接给结论：不行，在Apache 2.4.7版本里没法通过表达式或环境变量动态指定Require ldap-group的组名。

为什么你的配置不起作用？ #

你用SetEnvIf从Request_URI里提取项目名称到GIT_PROJECT和LDAP_GROUP的逻辑是对的——从日志能看到变量值正常输出，说明这部分没问题。但问题出在Apache 2.4.7的mod_authnz_ldap模块上：

• 这个版本的Require ldap-group只会在配置加载时解析参数，把你写的%{GIT_PROJECT}或%{LDAP_GROUP}当成字面量直接发给LDAP服务器，根本不会在请求阶段动态替换成实际的项目名称。这就是为什么你在LDAP日志里看到的是%{GIT_PROJECT}而非真实组名，自然查不到对应的组。
• 你用硬编码组名能正常工作，也验证了LDAP连接、组结构和用户权限本身都是没问题的，核心障碍就是动态参数的支持缺失。

怎么解决这个问题？ #

唯一靠谱的方案是升级Apache到2.4.10或更高版本。从2.4.10开始，Apache引入了表达式语法支持，允许在Require指令里用expr模式动态计算权限条件。升级后你可以这样配置：

# 直接使用GIT_PROJECT变量动态拼接组DN
Require expr "ldap-group('cn=%{env:GIT_PROJECT},ou=projects,dc=mydomain,dc=com')"

或者直接引用你提前设置好的LDAP_GROUP变量：

Require expr "ldap-group(%{env:LDAP_GROUP})"

这样Apache会在每个请求处理时，把环境变量替换成真实值，再去LDAP验证用户是否属于对应项目组，完全符合你的需求。

如果暂时没法升级Apache，也可以考虑用mod_rewrite结合自定义脚本（比如CGI、Python脚本）做动态权限校验，但这种方案复杂度高，维护起来麻烦，远不如升级Apache来得直接省心。

内容的提问来源于stack exchange，提问作者JustAnotherCoder894