mod_authz_dbd用于数据库授权，需与mod_authn_dbd配合实现“认证+授权”：先通过AuthDBDUserPWQuery验证用户凭据，再通过AuthzDBDQuery查询用户组或属性，结合Require dbd-group/dbd-attribute完成细粒度控制。
mod_authz_dbd 本身不负责认证，而是配合 mod_authn_dbd 实现“数据库认证 + 数据库授权”的完整流程。它从数据库中动态查询用户所属的组、角色或权限标识，再结合 Require 指令完成细粒度访问控制。要真正用起来，必须先完成认证环节（比如用 mod_authn_dbd 验证用户名密码），再让 mod_authz_dbd 查数据库做权限判断。
前提：启用必要模块并配置数据库连接
确保以下模块已加载（在 httpd.conf 或 mods-enabled 中）：
- mod_authn_dbd（负责从数据库查密码验证身份）
- mod_authz_dbd（负责从数据库查用户权限/组信息）
- mod_dbd（提供通用数据库连接池支持）
- mod_socache_dbm 或 mod_socache_shmcb（用于缓存认证结果，提升性能）
在主配置中定义数据库连接和查询语句：
<IfModule mod_dbd.c>
DBDriver pgsql
DBDParams "host=localhost dbname=authdb user=apache password=secret"
DBDMin 1
DBDKeep 2
DBDMax 10
DBDExptime 300
</IfModule>其中 DBDriver 可选 mysql、pgsql 或 sqlite3；DBDParams 格式依驱动而定，例如 MySQL 写成 dbname=authdb&user=apache&pass=secret&host=localhost。
认证阶段：用 mod_authn_dbd 验证用户凭据
在需要保护的目录中配置 Basic 认证，并指定数据库查询逻辑：
<Directory "/var/www/internal">
AuthName "Restricted Area"
AuthType Basic
AuthBasicProvider dbd
Require valid-user
<pre class='brush:php;toolbar:false;'># 查询语句：返回1行表示密码匹配成功（密码需为明文或加密后比对）
AuthDBDUserPWQuery "SELECT password FROM users WHERE username = %s AND status = 'active'"</Directory>
注意：AuthDBDUserPWQuery 必须只返回一个字段（密码值），Apache 会自动将用户输入的密码与该字段比对（若存的是哈希值，需确保数据库中是同算法生成的，且 Apache 启用了对应校验逻辑，如使用 mod_authn_core 的 hash 支持）。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
授权阶段：用 mod_authz_dbd 动态查组/角色
在相同或嵌套目录中添加授权规则，通过 SQL 返回用户所属的组名或权限标签：
<Directory "/var/www/internal/admin">
# 继承上层认证，不再重复写 AuthType 等
Require dbd-group admin
Require dbd-attribute role = 'editor'
<pre class='brush:php;toolbar:false;'># 查询语句：返回组名列表（每行一个组）或属性键值对
AuthzDBDQuery "SELECT groupname FROM user_groups WHERE username = %s"
# 或返回多列："SELECT attr_key, attr_value FROM user_attrs WHERE username = %s"</Directory>
关键点：
- Require dbd-group xxx 要求查询结果中至少有一行等于 xxx
- Require dbd-attribute key = value 要求某行的 key 列值等于 value
- AuthzDBDQuery 的结果必须是单列（group）或多列（key/value 形式），不能混用
数据库表结构建议（以 PostgreSQL 为例）
最小可用三张表：
-- 用户主表（含密码哈希）
CREATE TABLE users (
username TEXT PRIMARY KEY,
password TEXT NOT NULL,
status TEXT DEFAULT 'active'
);
<p>-- 用户-组关系表
CREATE TABLE user_groups (
username TEXT REFERENCES users(username),
groupname TEXT NOT NULL
);</p><p>-- 用户属性扩展表（可选，用于角色、部门等）
CREATE TABLE user_attrs (
username TEXT REFERENCES users(username),
attr_key TEXT NOT NULL,
attr_value TEXT NOT NULL
);插入测试数据：
INSERT INTO users VALUES ('alice', 'sha256$abc123...', 'active');
INSERT INTO user_groups VALUES ('alice', 'admin'), ('alice', 'editor');
INSERT INTO user_attrs VALUES ('alice', 'role', 'editor'), ('alice', 'dept', 'dev');调试与验证技巧
启用日志快速定位问题：
- 设置
LogLevel authz_dbd:trace7 authn_dbd:trace7 - 查看 error_log 中是否出现 “query returned N rows”、“user 'xxx' in group 'yyy'” 等提示
- 确认 DBD 连接是否建立：检查是否有 “DBD: failed to connect” 类错误
- 手动执行 AuthDBDUserPWQuery 和 AuthzDBDQuery 中的 SQL，验证返回格式和内容
常见失败原因：SQL 返回空结果、列名不匹配、数据库权限不足、密码未按预期哈希存储、Require 指令拼写错误（如写成 db-group 而非 dbd-group）。
