Apache无法直接通过配置文件实现HMAC签名验证，必须借助mod_security+mod_lua、反向代理至专用验签服务或换用APISIX等现代网关。

Apache本身不能直接在配置文件里完成HMAC签名验证。它没有读取原始请求体、解析时间戳、调用SHA256-HMAC计算、比对Base64或Hex编码签名的能力。所谓“Apache配置实现验签”，实际是借助扩展模块或外部服务来完成，Apache只做路由、拦截或代理。

必须明确：RewriteRule、SetEnv、Header指令等纯配置方式无法真正验签——它们看不到请求体，也不能执行哈希运算。

下面分三种可行路径说明，按推荐程度排序：

方案一：mod_security + mod_lua（轻量级，适合Apache 2.4+）

适用场景：不想引入新服务、已有mod_security和mod_lua、API流量不大 关键要求： - 启用`mod_security`（v3推荐）和`mod_lua` - 在配置中开启原始body捕获：`lua_request_body on` - 密钥通过`SetEnvIf`注入，避免硬编码在脚本中 - Lua脚本需用`crypto.hmac`（依赖`lua-crypto`）或调用系统`openssl dgst -hmac` - 签名头（如`X-Signature`）和时间戳头（如`X-Timestamp`）必须存在且格式统一（如秒级Unix时间） - 验签失败时必须`return 401`并终止流程，不能只设响应头

示例片段（httpd.conf）：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

<Location "/api/">
    SetEnvIf Request_URI "^/api/.*" HMAC_KEY="s3cr3t_k3y_2026"
    lua_request_body on
    LuaHookHandler "/var/www/hmac_verify.lua" run
</Location>

方案二：反向代理至专用验签服务（生产首选）

适用场景：高可用、需防重放、要审计日志、后续可能加限流/熔断 核心思路：Apache只做入口网关，把所有`/api/`请求转发给本地Python/Go服务，由它完成完整验签逻辑。 优势明显： - Python可用`request.get_data(cache=False, as_text=False)`获取原始字节body - 能查Redis判断`timestamp`是否过期、`nonce`是否已用过 - 可统一处理签名格式（Hex/Base64）、编码（UTF-8字节序）、参数归一化（JSON key排序、URL decode） - 失败时返回标准401，成功后用`requests`或`httpx`透传给真实后端

Apache配置只需：

ProxyPass "/api/" "http://127.0.0.1:8001/api/"
ProxyPassReverse "/api/" "http://127.0.0.1:8001/api/"
# 防body缓存丢失
SetEnv nokeepalive 1
ProxySet keepalive=on

方案三：换用APISIX等现代API网关（长期更省心）

如果你能调整架构，APISIX的`hmac-auth`插件开箱即用： - 支持`access_key`/`secret_key`按consumer维度管理 - 自动校验`Date`头（GMT格式）、`clock_skew`防时钟偏差 - 可选验证请求体完整性（`validate_request_body: true` + `Digest`头） - 支持`signed_headers`指定哪些头参与签名计算 - 密钥不透传上游（`hide_credentials: true`）

启用只需在Route配置中加入：

{
  "plugins": {
    "hmac-auth": {
      "clock_skew": 300,
      "validate_request_body": true,
      "hide_credentials": true
    }
  }
}

不复杂但容易忽略。