<p>SSLUserName 指令不存在于 Apache mod_ssl 中；实际可用的是 SSL_CLIENT_SDN* 等标准环境变量，用于获取客户端证书的 DN 字段，扩展字段如 subjectAltName 需后端解析或透传原始证书处理。</p>
Apache 的 mod_ssl 不提供 SSLUserName 指令，该指令并不存在于官方文档或任何稳定版本（包括 2.2、2.4）的 mod_ssl 模块中。你可能混淆了以下两类概念：
- ✅ 真实存在的 SSL 环境变量：如
SSL_CLIENT_S_DN_CN、SSL_CLIENT_S_DN_Email、SSL_CLIENT_I_DN_OU等，由mod_ssl自动注入 CGI/SSI/代理上下文，用于透传客户端证书的 X.509 主题（Subject）或颁发者（Issuer）字段； - ❌ 不存在的
SSLUserName：Apache 官方从未定义或实现名为SSLUserName的配置指令或环境变量。它不是mod_ssl的一部分，也不在httpd -M输出或mod_ssl.c源码中。
正确做法：用标准 SSL 环境变量提取证书扩展字段
若你想从客户端证书中导出特定字段（例如 subjectAltName 中的 DNS 名、邮箱，或自定义扩展 OID），需分两步：
1. 确保客户端证书含目标字段，且服务端能读取
- 双向认证（mTLS）已启用：
SSLVerifyClient require - CA 证书可信：
SSLCAcertificateFile /path/to/ca.crt - 客户端证书必须由该 CA 签发，且扩展字段在证书中实际存在（可用
openssl x509 -in client.crt -text -noout验证）
⚠️ 注意：
mod_ssl仅原生支持解析标准 DN 字段（CN、OU、O、L、ST、C、emailAddress）和部分 issuer 字段，不直接暴露subjectAltName或任意扩展 OID 到环境变量。
2. 使用已有环境变量映射常用身份标识
mod_ssl 会将证书主题 DN 的各组件自动转为环境变量，格式为：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
SSL_CLIENT_S_DN_CN → Common Name（如 "alice@example.com"） SSL_CLIENT_S_DN_Email → Email 地址（如 "alice@example.com"） SSL_CLIENT_S_DN_OU → 组织单位（如 "Engineering"） SSL_CLIENT_S_DN_O → 组织名（如 "Example Corp"）
你可在 CGI、PHP、或 Java Servlet（经 Apache 代理时）中直接读取，例如：
# 在 Shell CGI 脚本中 echo "User CN: $SSL_CLIENT_S_DN_CN" echo "User Email: $SSL_CLIENT_S_DN_Email"
// 在 Java Servlet 中（需 Apache 配置 Header 透传）
String cn = request.getAttribute("ssl_client_s_dn_cn") != null ?
request.getAttribute("ssl_client_s_dn_cn").toString() : null;3. 如需提取 subjectAltName 或自定义扩展字段：必须后端处理
mod_ssl 不提供 SSL_CLIENT_S_AN 或类似变量。可行替代方案：
✅ 方式一：Apache 透传原始证书 PEM（高级）
启用SSLOptions +StdEnvVars +ExportCertData，则SSL_CLIENT_CERT环境变量将包含 Base64 编码的 PEM 格式客户端证书。后端可解码并解析 ASN.1 结构提取 SAN 或扩展。✅ 方式二：用 Lua 或 Perl 模块做运行时解析（需额外模块）
如启用mod_lua，可在<Location>中调用 Lua 解析SSL_CLIENT_CERT并设自定义环境变量或请求头。-
✅ 方式三：在反向代理层（如 Apache → Tomcat）用 RewriteRule 注入头
示例（提取 CN 并设头）：SSLOptions +StdEnvVars RequestHeader set X-User-CN "%{SSL_CLIENT_S_DN_CN}e"
小结
-
SSLUserName是无效指令，不要在配置中使用； - 所有可用证书字段均通过
SSL_CLIENT_S_DN_*等标准环境变量暴露； -
subjectAltName、authorityKeyIdentifier等扩展字段需靠后端代码或额外模块解析； - 确保
SSLOptions +StdEnvVars已启用（默认开启），否则部分变量不可见。
不复杂但容易忽略。
