Apache中不能用mod_rewrite直接判断客户端TLS版本或密钥强度，仅能通过%{HTTPS}判断是否启用HTTPS，或通过%{HTTP:X-Forwarded-Proto}识别代理前原始协议，TLS细节需在SSLProtocol等指令中强制配置。
不能直接用 mod_rewrite 判断“客户端 TLS 安全性”，因为 RewriteCond 没有内置变量能读取客户端的 TLS 版本、密钥套件或证书强度。它只能获取服务器端已解密或代理传递过来的协议标识信息。实际能判断的，是当前请求是否走 HTTPS，以及是否来自可信的加密通道（如经 CDN 或反向代理转发）。
判断当前连接是否为 HTTPS
这是最常用且可靠的条件，依赖 Apache 内置的 %{HTTPS} 变量：
-
RewriteCond %{HTTPS} off：表示本次请求未使用 TLS 加密（即 HTTP），适合做跳转 -
RewriteCond %{HTTPS} on：表示已启用 HTTPS，可用于分流或加 header - 该变量由 mod_ssl 在 SSL 握手完成后设置，无需额外模块，只要 mod_ssl 已加载并配置了有效证书即可生效
判断经代理转发后的原始协议
当站点前端有 CDN（如 Cloudflare）、Nginx 或负载均衡器时，用户真实请求可能被卸载 TLS，后端 Apache 收到的是 HTTP 流量，此时 %{HTTPS} 恒为 off。应改用代理注入的标准头：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
RewriteCond %{HTTP:X-Forwarded-Proto} !https：检查客户端最初是否发起 HTTPS 请求 - 需确保前端代理确实设置了该 Header（如 Nginx 中加
proxy_set_header X-Forwarded-Proto $scheme;） - 不建议用
%{SERVER_PORT} != 443，因端口在代理后不可信，易被绕过或误判
无法直接判断的 TLS 细节及替代方案
以下内容不能通过 RewriteCond 实现，需其他机制配合：
- TLS 版本（如是否为 TLS 1.3）：需在
SSLProtocol和SSLCipherSuite中强制，Apache 不提供运行时变量暴露协商结果 - 客户端证书是否有效：属于 mod_ssl 的客户端认证范畴（
SSLVerifyClient），验证失败会直接拒接连接，不在 rewrite 流程中处理 - 密钥强度或签名算法：无对应变量；若需差异化响应，应结合自定义日志 + 外部分析，或用 Lua 脚本（mod_lua）扩展
实用建议：安全跳转与混合内容防护
仅靠 RewriteCond 做跳转还不够，还需注意落地细节：
- 跳转规则务必放在
:80虚拟主机内，或加RewriteCond %{HTTPS} off，避免 HTTPS 请求被反复重定向 - 用
Redirect permanent / https://...比 RewriteRule 更高效，尤其在独立端口配置下 - 跳转成功后页面仍报“Mixed Content”，说明 HTML/JS/CSS 中含硬编码
http://链接——这不是 rewrite 问题，需统一改为https://或协议相对路径//example.com/res.js
