RewriteRule .* — [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}] правило .htaccess для WordPress

Обоснование необходимости директивы RewriteRule HTTP_AUTHORIZATION в .htaccess для WordPress

Назначение правила:
Директива RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}] обеспечивает передачу заголовка HTTP-авторизации в PHP-скрипты WordPress, когда PHP работает в режиме CGI.

Условия для удаления правила:

1. Отсутствие HTTP-аутентификации: Если в WordPress не используется механизм HTTP-авторизации, правило можно удалить.

2. PHP как модуль Apache: Если PHP интегрирован как модуль сервера Apache, правило становится избыточным (возможно, WordPress автоматически исключает его при генерации .htaccess).

Важное замечание:

• Правило находится внутри блока # BEGIN WordPress / # END WordPress. Ручное удаление может привести к его восстановлению при обновлениях WordPress. Рекомендуется избегать изменений в этом блоке.

Влияние на работу системы:

• Наличие директивы не вызывает конфликтов или ошибок.

Технический контекст:

• В режиме CGI Apache блокирует передачу заголовка Authorization в PHP-скрипты по соображениям безопасности (предотвращение утечки учетных данных).

• PHP обычно получает данные авторизации через $_SERVER['HTTP_AUTHORIZATION'], но при отключенном заголовке это невозможно.

Функционал директивы:

• Правило задает переменную окружения HTTP_AUTHORIZATION, дублирующую значение заголовка Authorization, чтобы PHP мог получить доступ к данным через $_SERVER. Эффективность решения зависит от конфигурации сервера.

Разберём подробнее правило

RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

---

1. Для чего это правило?

Это правило нужно, чтобы передать заголовок HTTP-запроса Authorization в переменную окружения HTTP_AUTHORIZATION на сервере. Это критически важно для работы некоторых функций WordPress, например:

• Авторизация через REST API,

• Работа с XML-RPC,

• Обработка запросов, требующих аутентификации (например, OAuth).

---

2. Пошаговый разбор правила

a. RewriteRule

Это директива модуля Apache mod_rewrite, которая определяет правило для перезаписи URL.

b. .*

• Шаблон (Pattern): Регулярное выражение .* означает «любая последовательность символов» (включая пустую строку).

• Зачем? Правило применяется ко всем входящим запросам, независимо от URL.

c. -

• Действие (Substitution): Символ - означает, что URL не изменяется. Это не перенаправление, а внутренняя обработка запроса.

d. [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

• Флаг E (Environment Variable): Устанавливает переменную окружения.

  • HTTP_AUTHORIZATION — имя переменной, которую создаёт правило.

  • %{HTTP:Authorization} — значение заголовка Authorization из HTTP-запроса.

Пример:
Если запрос содержит заголовок Authorization: Bearer abc123, то переменная окружения HTTP_AUTHORIZATION получит значение Bearer abc123.

---

3. Почему это важно для WordPress?

• Проблема: Некоторые серверные конфигурации (например, CGI/FastCGI) не передают заголовок Authorization в PHP-скрипты. Это приводит к ошибкам аутентификации в WordPress (например, «401 Unauthorized» в REST API).

• Решение: Правило «перехватывает» заголовок Authorization и сохраняет его в переменной окружения, которую WordPress может прочитать через $_SERVER['HTTP_AUTHORIZATION'].

---

4. Где это используется в WordPress?

• REST API: Запросы к /wp-json/... требуют передачи токена в заголовке Authorization.

• XML-RPC: Аутентификация для удалённого управления сайтом.

• Плагины: Некоторые плагины (например, WooCommerce, JWT Auth) полагаются на этот заголовок.

---

5. Что будет, если удалить это правило?

• WordPress не сможет получить заголовок Authorization, что приведёт к:

  • Ошибкам при авторизации через REST API,

  • Невозможности отправлять запросы к защищённым endpoints,

  • Проблемам с некоторыми плагинами и темами.

---

6. Проверка работы правила

Чтобы убедиться, что заголовок передаётся:

1. Добавьте в файл functions.php вашей темы:

   add_action('init', function() {
       error_log('Authorization Header: ' . $_SERVER['HTTP_AUTHORIZATION']);
   });

2. Сделайте запрос с заголовком Authorization (например, через Postman).

3. Проверьте лог ошибок WordPress — там должно отобразиться значение заголовка.

---

7. Возможные ошибки

• 500 Internal Server Error: Убедитесь, что модуль mod_rewrite включён на сервере.

• Заголовок не передаётся: Проверьте, не блокирует ли хостинг заголовки Authorization (частая проблема на shared-хостингах).

---

8. Альтернативные решения

Если правило не работает:

• Добавьте в wp-config.php:

  if (isset($_SERVER['HTTP_AUTHORIZATION'])) {
      $auth_header = $_SERVER['HTTP_AUTHORIZATION'];
  }

• Настройте сервер через php.ini:

  auto_prepend_file = none

Альтернативное решение:

• Для Apache 2.4.13+ можно использовать директиву CGIPassAuth On в .htaccess, разрешающую передачу заголовков авторизации в CGI-скрипты. Однако результат также зависит от настроек сервера.

Резюме:
Директива актуальна при использовании PHP в режиме CGI с HTTP-аутентификацией. Ее удаление допустимо в указанных сценариях, но не рекомендуется вносить изменения в блок WordPress. Наличие правила не нарушает работу системы.