Apache中实现URL路径权限隔离需全局启用SSLVerifyClient require并配合Require指令路径级授权，禁用SSLRequire，使用SSLOptions +StdEnvVars确保变量可信，对静态资源等路径显式放行。
要在 Apache 中用 mod_ssl 实现不同 URL 路径的权限隔离，核心不是“在路径里开验证”，而是「全局开启验证 + 路径级二次授权」。SSLVerifyClient 本身不支持按路径开关，它必须在 TLS 握手阶段就完成，所以只能设在 <VirtualHost> 顶层；真正的路径差异控制，靠的是后续的 Require 指令配合环境变量来实现。
必须在 VirtualHost 顶层启用 SSLVerifyClient require
很多人试图把 SSLVerifyClient require 写进 <Location /admin> 或 <Directory /var/www/private>，结果客户端根本不弹证书选择框，或者返回 403。这是因为证书验证发生在 HTTP 请求之前——是 TLS 层的事。Apache 只认 <VirtualHost>（或全局 SSL 上下文）里的设置。
- 正确写法：
SSLVerifyClient require<br>SSLCACertificateFile /etc/ssl/certs/ca.crt
- 即使只想保护
/api/v1/admin，也得在这里设为require；否则未提供证书的请求会直接被拒绝，连路径匹配都走不到 - 若设成
optional，客户端不发证书也能进，%{SSL_CLIENT_VERIFY}为NONE，后续授权逻辑就不可靠
用 Require 指令做路径级细粒度授权
验证通过后，客户端证书信息（如 CN、OU、email）会变成环境变量，比如 %{SSL_CLIENT_S_DN_CN}、%{SSL_CLIENT_S_DN_OU}。这些变量可在 <Location> 或 <Directory> 块中用 Require 表达式判断，实现路径隔离。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 示例：只允许 CN 为
admin@company.com的用户访问/admin<Location "/admin"><br> Require expr "%{SSL_CLIENT_S_DN_CN} == 'admin@company.com'"<br></Location> - 示例：允许 OU 为
Finance或HR的用户访问/internal<Location "/internal"><br> Require expr "%{SSL_CLIENT_S_DN_OU} in {'Finance', 'HR'}"<br></Location> - 注意：
expr是 Apache 2.4+ 的语法；不要用已废弃的SSLRequire，它不支持嵌套逻辑且无法与现代 Require 指令共存
确保环境变量可用且可信
光有 SSLVerifyClient require 不够，还得让变量真正传得下去、值可信。
- 加上
SSLOptions +StdEnvVars，否则 PHP/CGI 等后端读不到SSL_CLIENT_S_DN_CN等变量 - CA 证书文件必须完整：根 CA 和中间 CA 都要打包进
SSLCACertificateFile，否则验证失败，变量为空或不可信 - 证书链不能混入私钥、注释或多余空行；文件权限建议设为
600，属主为 Apache 运行用户（如www-data） - 若需透传证书内容给后端应用（如 Java Servlet），加
+ExportCertData，变量名是SSL_CLIENT_CERT
避免静态资源误触发验证
全局设 SSLVerifyClient require 后，所有 HTTPS 请求（包括 /static/css/app.css）都会要求客户端证书，这既不必要，也容易因浏览器不自动发送证书导致 403。
- 解决方案：对公开资源路径显式关闭验证需求
<Location "/static"><br> Require all granted<br> SSLRequireSSL<br></Location>
-
SSLRequireSSL确保该路径只走 HTTPS，但不强制客户端证书；而Require all granted显式放行，覆盖上级的Require ssl-verify-client - 类似地，可对
/health、/robots.txt等管理路径做同样处理
