Apache需借助mod_maxminddb模块解析IP地理位置，流程为加载GeoLite2数据库→提取ISO国家码→用SetEnvIf标记区域→通过Require策略控制访问。

Apache 本身不直接支持按国家或地区识别 IP，必须借助外部地理 IP 模块（如 mod_maxminddb）先解析出地理位置信息，再用 SetEnvIf 和 Require 实现访问控制。整个流程分三步：加载地理库 → 提取国家码 → 基于标记做策略。

安装并配置 mod_maxminddb

这是当前最主流、维护活跃的 GeoIP 解析模块，依赖 MaxMind 的 GeoLite2 数据库：

• 安装模块（以 CentOS/RHEL 为例）：yum install mod_maxminddb 或从源码编译启用
• 下载 GeoLite2-Country.mmdb 到指定路径，例如 /usr/share/GeoIP/GeoLite2-Country.mmdb
• 在 Apache 配置中启用并关联数据库：

  MaxMindDBEnable On
  MaxMindDBFile GEOIP_COUNTRY_DB /usr/share/GeoIP/GeoLite2-Country.mmdb
  MaxMindDBEnv GEOIP_COUNTRY_CODE COUNTRY_ISO_CODE

• 重启 Apache：systemctl reload httpd

用 SetEnvIf 标记目标区域

一旦 GEOIP_COUNTRY_CODE 可用，就能用 SetEnvIf 创建自定义环境变量，比如区分中国及港澳台：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• SetEnvIf GEOIP_COUNTRY_CODE ^(CN|HK|TW) is_china_region
• SetEnvIf GEOIP_COUNTRY_CODE ^(US|CA|GB) is_north_atlantic
• 注意：ISO 国家码为大写，正则中无需加 i 标志；私有 IP（如 127.0.0.1、192.168.x.x）查不到结果，对应变量为空，不会被匹配

应用访问控制策略

标记只是准备动作，真正生效需配合 <RequireAll> 或 Require not env=xxx：

• 仅允许中国区访问某个目录：

  <Directory "/var/www/html/admin">
    <RequireAll>
      Require all granted
      Require env=is_china_region
    </RequireAll>
  </Directory>

• 禁止北美用户访问 API 接口：

  <Location "/api/v1/">
    <RequireAll>
      Require all granted
      Require not env=is_north_atlantic
    </RequireAll>
  </Location>

• 也可组合 IP + 地域，例如“仅中国+内网可访问”：Require ip 10.0.0.0/8 和 Require env=is_china_region 同时放在 <RequireAll> 中

验证与排错要点

配置后常见问题多源于变量未生成或大小写不一致：

• 检查 GEOIP_COUNTRY_CODE 是否真实注入：在日志格式中临时加入 %{GEOIP_COUNTRY_CODE}e，查看 access_log 输出
• 确保 AllowOverride All 已开启（若用 .htaccess），且 mod_setenvif 和 mod_authz_core 已启用
• 拒绝规则生效前，务必确认 Require all granted 存在，否则默认全拒
• 测试时建议用非本地公网 IP（如手机热点），避免因私有地址无地理数据导致误判