Apache的RewriteCond不直接解析证书，但可通过mod_ssl设置的%{SSL_CLIENT_S_DN_CN}等环境变量匹配已验证的客户端证书信息，前提是必须先配置SSLVerifyClient require和SSLCACertificateFile。
Apache 的 RewriteCond 本身不直接解析或验证客户端证书，但它可以通过 Apache 提供的 SSL 环境变量（由 mod_ssl 设置）来获取已成功协商并验证过的客户端证书信息，再基于这些变量做条件匹配。
确保客户端证书已启用并验证
在使用 RewriteCond 前，必须先配置 Apache 强制要求并验证客户端证书：
- 启用
SSLVerifyClient require（或optional，但require更常见于鉴权场景） - 设置
SSLCACertificateFile或SSLCACertificatePath指向受信任的 CA 证书 - 确保
mod_ssl已加载，且 HTTPS 虚拟主机配置正确
只有当客户端提供了有效、可验证的证书，Apache 才会将证书字段（如 CN、OU、DN 等）写入环境变量，供 RewriteCond 使用。
常用 SSL 环境变量及 RewriteCond 写法
证书信息通过 %{SSL_CLIENT_*} 变量暴露。关键变量包括：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
%{SSL_CLIENT_S_DN_CN}：证书主题中的通用名（Common Name），例如
RewriteCond %{SSL_CLIENT_S_DN_CN} ^admin$ - %{SSL_CLIENT_S_DN_O}：组织名（Organization）
- %{SSL_CLIENT_S_DN_OU}：部门名（Organizational Unit）
- %{SSL_CLIENT_S_DN_Email}：邮箱地址
-
%{SSL_CLIENT_VERIFY}：验证状态，值为
SUCCESS、FAILED:xxx或NONE（未提供证书）
示例：只允许 CN 为 dev-user 且证书验证成功的请求访问 /api/：
RewriteCond %{SSL_CLIENT_VERIFY} =SUCCESS
RewriteCond %{SSL_CLIENT_S_DN_CN} ^dev-user$
RewriteRule ^/api/(.*)$ - [E=ALLOWED:1]
RewriteCond %{ENV:ALLOWED} !=1
RewriteRule ^/api/.*$ - [R=403,L]
注意编码与特殊字符处理
证书 DN 中常含逗号、空格、等号等特殊字符，Apache 默认会对 %{SSL_CLIENT_S_DN_...} 做 URL 解码（RFC 2253 格式），但部分字段可能仍含转义（如 \ 表示空格）。若匹配失败，可尝试：
- 用
^.*CN=dev-user,.*$匹配完整 DN 字符串（%{SSL_CLIENT_S_DN}） - 避免正则中出现未转义的
,、=、+等，必要时用反斜杠转义 - 开启
LogLevel debug ssl:trace7查看实际注入的环境变量值
替代方案：结合 mod_ssl + mod_authz_core 更推荐
单纯用 RewriteCond 做证书鉴权较脆弱（如绕过重写规则）。更健壮的做法是：
- 用
SSLRequire（需启用mod_ssl的SSLRequire指令）做原生证书校验 - 或用
Require ssl-verify-client+Require expr（Apache 2.4+） - 例如：
Require expr "%{SSL_CLIENT_S_DN_CN} == 'admin'"
这类方式由认证模块统一处理，比重写规则更安全、语义更清晰。
