如何在虚拟主机层级利用mod_substitute对特定站点的响应内容进行实时脱敏-Apache-PHP中文网

可行，但需启用mod_substitute与mod_filter模块，在VirtualHost中用AddOutputFilterByType和Substitute指令配置，仅作用于指定MIME类型且未压缩的响应体，正则需谨慎设计以避免性能与误匹配问题。

在虚拟主机层级使用 mod_substitute 对响应内容实时脱敏是可行的，但需满足前提条件并注意作用范围限制。该模块仅适用于由 apache 自身生成或代理后经 apache 输出的响应（如 php 输出、静态 html、反向代理后的响应），且必须启用并正确配置。

确认模块已启用并支持正则替换

mod_substitute 默认不启用，需手动加载。检查是否已启用：

运行 a2enmod substitute（Debian/Ubuntu）或在 httpd.conf 中取消注释 LoadModule substitute_module modules/mod_substitute.so
确保同时启用了 mod_filter（mod_substitute 依赖它进行内容过滤链挂载）
验证 Apache 配置语法：apachectl configtest，重启服务生效

在 VirtualHost 中配置脱敏规则

将 Substitute 指令置于对应站点的 <virtualhost></virtualhost> 或 <directory></directory> 块内，配合 AddOutputFilterByType 激活过滤器。例如，对 HTML 响应中所有手机号（11位数字）替换为 [PHONE_HIDDEN]：

<virtualhost>
    ServerName example.com
    DocumentRoot /var/www/example
<pre class="brush:php;toolbar:false;"># 启用输出过滤（仅对 text/html 生效）
AddOutputFilterByType SUBSTITUTE text/html

# 执行正则替换：匹配连续11位数字（边界保护避免误伤）
Substitute "s/\b1[3-9]\d{9}\b/[PHONE_HIDDEN]/ni"

说明：
– s/// 是 substitute 语法；
– \b 确保匹配完整手机号，避免截取长数字中间段；
– n 表示不区分大小写（对数字无影响，但语法要求）；i 为忽略大小写标志，n 实际应为 g（全局替换），正确写法是 sgni 中的 g；
– 若需多行匹配（如跨标签的敏感词），需加 s 标志（PCRE 的 dotall 模式），但需 Apache ≥ 2.4.12 且启用 PCRE2。

适配常见脱敏场景与注意事项

实际使用中需根据内容类型和敏感字段调整策略：

快写红薯通AI

快写红薯通AI是一款专为小红书笔记创作和改写设计的 AI 文案工具。

下载

仅作用于指定 MIME 类型：HTML 脱敏需 AddOutputFilterByType SUBSTITUTE text/html；若要处理 JSON 接口响应，需额外添加 text/json 或 application/json（前提是后端未设置 Content-Type: application/json 时 Apache 可识别）
动态内容兼容性：PHP/Python 等脚本输出若已压缩（gzip），mod_substitute 无法处理 —— 必须确保响应未被压缩，或在压缩前插入过滤器（通过 SetOutputFilter 替代 AddOutputFilterByType 并控制过滤器顺序）
性能与安全边界：正则过于复杂或响应体过大时可能增加延迟；避免在高并发接口上对整个响应做贪婪匹配；敏感字段建议结合后端逻辑脱敏，mod_substitute 更适合作为兜底或前端展示层补充
HTTPS 下同样有效：只要 SSL 终止在 Apache（非透传），响应内容在解密后、加密前被处理，规则无需修改

验证与调试方法

启用日志辅助排查：

临时开启 Substitute 调试日志：LogLevel alert substitute:trace5（Apache 2.4+），查看是否命中过滤、正则是否编译成功
用 curl -I 检查响应头是否含 Content-Encoding: gzip，如有需先禁用压缩测试
构造含目标敏感词的测试页面（如 <p>联系人：13812345678</p>），用 curl http://example.com/test.html 观察输出是否被替换