授权失败后跳转需区分未认证与未授权：apache默认返回403不跳转，须显式配置errordocument 403 /common/access-denied.html（确保该页可匿名访问）；shiro等框架则需配置permissionsauthorizationfilter的unauthorizedurl并设对应路径为anon。
Apache 中授权失败（即用户有身份但无权限访问）后的自动跳转，关键在于区分“未认证”和“未授权”，并针对后者配置正确的跳转逻辑。默认情况下，Apache 对 403 Forbidden 错误只返回状态码，不会自动跳转页面——必须显式配置 ErrorDocument 或结合模块（如 mod_authz_core、Shiro、或自定义逻辑）来实现跳转。
✅ 明确授权失败的含义
授权失败 ≠ 登录失败。它发生在：
- 用户已成功登录（认证通过）
- 但请求的资源超出其角色/权限范围（如访问
/admin/却只有user角色） - Apache 返回 HTTP 403 状态，此时需跳转到提示页（如
/access-denied.html）
✅ 方法一：用 ErrorDocument 处理 403（最通用、轻量）
适用于纯 Apache 权限控制（如 Require ip、Require group、Require all denied 等静态规则）：
# 在虚拟主机、目录或主配置中添加 ErrorDocument 403 /common/access-denied.html
⚠️ 注意事项：
-
/common/access-denied.html必须位于网站根目录（如/var/www/html/common/），且不能被保护（否则会触发二次 403，导致跳转失败或循环） - 若该页面本身受
authc或Require限制，请加白名单：<location> Require all granted </location>
✅ 方法二：Shiro 等框架中配置 unauthorizedUrl（动态权限场景）
当使用 Apache + Shiro（或 Spring Security）做细粒度权限控制时，Apache 不直接处理授权跳转，而是由框架拦截并响应：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- Shiro 需显式配置
PermissionsAuthorizationFilter的unauthorizedUrl：perms = org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter perms.unauthorizedUrl = /common/access-denied.jsf
- 同时确保该路径允许匿名访问：
/common/access-denied.jsf = anon
❌ 错误做法：仅配 [roles] 块里的 unauthorizedUrl —— 它只对静态角色生效，对数据库动态权限无效。
✅ 方法三：用 mod_rewrite 捕获 403 并重定向（进阶灵活）
适合需要带参数跳转、或统一日志/埋点的场景（注意避免循环）：
# 启用重写引擎（确认 mod_rewrite 已加载）
RewriteEngine On
# 检测响应状态为 403 时跳转（需 Apache 2.4.13+，支持 %{REQUEST_STATUS}）
RewriteCond %{REQUEST_STATUS} ^403$
RewriteRule ^(.*)$ /common/access-denied.html?from=%{REQUEST_URI} [R=302,L]
? 提示：
-
%{REQUEST_STATUS}是响应阶段变量，仅在LogFormat或RewriteCond中可用（非请求阶段） - 生产环境建议先用
R=302测试，确认无循环后再改为R=301
✅ 验证与调试建议
- 直接访问一个明确受限的路径（如
/admin/test.html），观察是否返回 403 页面或跳转 - 查看 Apache error log：
tail -f /var/log/apache2/error.log，确认是否有AH01630: client denied by server configuration类错误 - 若跳转后又跳回登录页，检查目标页面是否被
authc过滤器拦截（常见于 Shiro 配置遗漏anon）
不复杂但容易忽略细节。
