Apache 2.4+ 可通过 expr= 表达式配合正则从 Cookie 头安全提取指定键值（如 auth_token），用于行为审计；需用 %{reqhdr('Cookie')} 获取原始头，正则匹配如 /auth_token=(1+)/，未匹配时返回“-”防错位。; ↩
Apache 的 mod_log_config 本身不支持直接提取特定 Cookie 键（如 auth_token 或 session_id）的值，它只能记录整条 Cookie 请求头。但 Apache 2.4+ 提供了基于表达式的日志格式（expr=），配合正则匹配，可安全、稳定地抽取目标键值用于行为审计。
用 expr= 从 Cookie 头中提取指定键值
这是目前最主流且无需额外模块的方法，适用于审计登录态、权限标识、设备指纹等关键字段：
- 确保已启用
log_config_module（默认开启），且 Apache 版本 ≥ 2.4 - 在
LogFormat中使用%{expr=...}s语法，调用reqhdr('Cookie')获取原始 Cookie 字符串 - 用正则捕获目标键值，注意处理 URL 编码、空格、分号分隔及缺失情况
示例：提取 auth_token 值并默认填充 -
说明：
– /auth_token=([^;]+)/ 匹配 auth_token=xxx 直到下一个分号或结尾
– 是正则第一个捕获组，即 token 实际值
– 若未匹配，返回 -，避免日志字段错位
处理常见干扰因素
真实环境中 Cookie 值常含 URL 编码（如空格变 + 或 %20）、引号、特殊字符，需提前清理或增强正则鲁棒性：
- 若 Cookie 值被双引号包裹（如
auth_token="abc%20def"），正则可改为：/auth_token="([^"]+)"/或更通用的/auth_token=([^;]+)/（仍有效，因引号非标准分隔符） - 对含空格/编码的值，建议在日志分析阶段再做
urldecode（如用 Python 的urllib.parse.unquote），而非在日志格式中硬解码 - 避免在正则中使用贪婪匹配（如
.*），防止跨多个 Cookie 键误捕获；优先用[^;]+精确截断
配合审计需求增强日志可信度
单纯记录 Cookie 值不足以支撑有效审计，还需关联上下文与防篡改设计：
- 将提取值与请求路径、状态码、时间戳、客户端 IP 同行输出，便于还原操作链：
LogFormat "%h %t \"%r\" %>s %{expr=%{reqhdr('Cookie') =~ /user_id=([^;]+)/ ? $1 : '-'}s %b" audit_full - 对敏感键（如
admin_flag）做脱敏处理，例如只记录前 4 位和哈希后缀：%{expr=%{reqhdr('Cookie') =~ /admin_flag=([^;]+)/ ? substr($1,0,4) . md5($1) : '-'}s - 若需验证 Cookie 是否由服务端签发（防伪造），应结合应用层签名逻辑，日志中可追加校验结果字段（需自定义环境变量或 Lua 模块）
不推荐的过时方案提醒
以下方法已不适用当前主流环境，易引发错误或安全风险：
-
mod_usertrack + %{cookie}n：该模块在 Apache 2.4 中已被彻底移除核心逻辑，启用后
%{cookie}n恒为空，且可能触发 500 错误 - 第三方模块（如 mod_lua）硬解析：虽可行，但增加运维复杂度与执行开销，审计场景中无必要
-
仅记录完整 %{Cookie}i 后离线解析：日志体积暴增、检索低效，且无法在
CustomLog条件过滤中直接使用键值
