apache响应体脱敏必须用mod_substitute，因其是唯一能对http响应正文做正则替换的模块；需同时启用mod_filter，显式声明mime类型，正确转义正则与分隔符，并禁用gzip、统一编码以确保生效。
Apache 本身不支持直接清洗响应体内容，必须通过 mod_substitute 模块配合 mod_filter 实现。mod_headers 只能操作响应头，mod_proxy 和 mod_proxy_http 完全不处理响应正文——它们只负责转发，不改写。真正能对 HTTP 响应体做正则替换的，只有 mod_substitute，但它默认未启用，且依赖正确配置链才能生效。
启用必要模块并声明 MIME 类型匹配
先确认 mod_substitute 和 mod_filter 已加载：
- 执行
a2enmod substitute filter（Debian/Ubuntu）或手动在 httpd.conf 中添加：LoadModule substitute_module modules/mod_substitute.soLoadModule filter_module modules/mod_filter.so - 响应体清洗只对明确声明的 MIME 类型生效。后端返回
Content-Type: application/json; charset=utf-8时，Apache 默认忽略带参数的类型，需显式注册： AddOutputFilterByType SUBSTITUTE text/html application/json- 若需覆盖更多类型（如 text/plain 或自定义格式），一并加入该指令
编写安全有效的 Substitute 规则
规则语法为 s///g，但双引号、斜杠、反斜杠都需转义，且 Apache 不支持 \d 等简写：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 身份证脱敏示例：
Substitute "s/\"idCard\":\"[0-9]{17}[0-9X]\"/\"idCard\":\"*************X\"/g" - 手机号含斜杠时，换用
#作分隔符避免冲突：Substitute "s#\"phone\":\"[0-9]{11}\"#\"phone\":\"****1234\"#g" - 避免误匹配：不用
\b（Apache 不支持），改用前后固定字符串锚定，例如确保只匹配"idCard":"…"而非"idCardDesc":"…" - 若 JSON 含换行（pretty-print 格式），mod_substitute 默认按行处理，跨行失败。需禁用 gzip 并加
i标志：SetEnv no-gzip 1Substitute "s/\"idCard\":\"[0-9]{17}[0-9X]\"/\"idCard\":\"*************X\"/gi"
规避常见失效原因
规则写了却没生效？大概率是以下任一环节缺失：
- 没在对应上下文（如
<location></location>或<virtualhost></virtualhost>）中启用过滤链，仅写Substitute不够，必须搭配AddOutputFilterByType - 后端响应被压缩（gzip），mod_substitute 无法处理压缩流，务必加
SetEnv no-gzip 1或在代理层提前解压 - 字符编码不一致导致正则匹配失败。确保后端返回 UTF-8，且 Apache 未因
mod_charset_lite（已废弃）干扰解码 - 调试建议开启详细日志：
LogLevel alert substitute:trace5，观察 error.log 中是否触发 substitute 过滤及匹配结果
注意响应体清洗的边界与风险
这不是万能方案，有明确限制：
- 不适用于流式响应（如 SSE、chunked transfer encoding 中间未结束的块）
- 不能修改二进制响应（PDF、图片等），仅限文本类 MIME
- 正则性能敏感，避免复杂嵌套或回溯爆炸；高频路径建议在应用层脱敏更稳妥
- 无法保证 JSON 结构完整性——若替换破坏引号配对或括号嵌套，可能造成前端解析失败
