ProxyPassReverse仅修正响应头中的Location、Content-Location和URI字段，将后端绝对URL前缀替换为客户端访问的公网URL前缀，不处理响应体或HTML内链接，且必须与ProxyPass配对、路径和协议严格一致。
为什么后端302重定向会暴露真实地址
当Apache用ProxyPass把请求转发给后端（比如http://127.0.0.1:8080），而后端返回302 Found并带上Location: /login?next=/admin这种相对路径，通常没问题；但一旦后端返回的是绝对URL（比如Location: http://127.0.0.1:8080/login），浏览器就会直接跳转到那个地址——绕过代理，暴露内网IP或端口。
ProxyPassReverse到底修正什么
它只改响应头里的Location、Content-Location和URI这三个字段，把后端返回的原始URL前缀替换成客户端实际访问的URL前缀。不是重写整个响应体，也不处理HTML里写的链接。
实操要点：
- 必须和
ProxyPass配对使用，且路径前缀要一致（比如都用/app/） - 参数顺序敏感：
ProxyPassReverse /app/ http://127.0.0.1:8080/中，第二个参数是后端原始地址，不是客户端地址 - 如果后端返回
Location: http://example.com/foo，而你没配置对应域名的ProxyPassReverse，它不会被修改 - 支持多次出现，可针对不同后端分别修正：
ProxyPass /api/ http://backend-api:3000/ ProxyPassReverse /api/ http://backend-api:3000/ ProxyPass /auth/ http://auth-svc:4000/ ProxyPassReverse /auth/ http://auth-svc:4000/
常见失效场景和排查方法
现象：明明配了ProxyPassReverse，但302还是跳去内网地址。
可能原因：
- 后端返回的是
https://127.0.0.1:8080/xxx，但ProxyPassReverse只写了http://127.0.0.1:8080/—— 协议不匹配就不会替换 - Apache配置在
ProxyPassReverse指向http://后端，而后者又自己302跳回https://—— 这时得在后端关掉自动协议升级，或用ProxyPreserveHost off配合RequestHeader set X-Forwarded-Proto "https" - 用了
ProxyPass / http://backend/（根路径代理），但ProxyPassReverse漏写了斜杠：ProxyPassReverse / http://backend→ 少了末尾/，导致无法匹配Location: http://backend/login - 后端返回的
Location含端口（如http://127.0.0.1:8080:8080/），而ProxyPassReverse没包含端口，匹配失败
要不要加ProxyPassReverseCookieDomain和ProxyPassReverseCookiePath
如果后端设了Set-Cookie带Domain=127.0.0.1或Path=/app/，浏览器可能拒收或发错路径。这时需要：
-
ProxyPassReverseCookieDomain 127.0.0.1 example.com→ 把cookie域改成面向公网的域名 -
ProxyPassReverseCookiePath /app/ /→ 如果代理路径是/app/但希望cookie路径为根，则这样映射 - 注意：这两个指令只影响
Set-Cookie头，不影响Location，也不能补救已发出的错误cookie
真正容易被忽略的是：这些指令必须放在和ProxyPass相同的配置块里（
