配置OHS反向代理需加载mod_proxy、mod_proxy_http、mod_ssl三模块（顺序不可错），ProxyPass等指令须置于内，后端地址带协议端口及末尾斜杠；SSL证书须放$ORACLE_HOME/ohs/conf/ssl/下并用SSLCertificateFile等指令指定；HTTP跳转HTTPS推荐Redirect而非RewriteRule；前置CDN/F5时需启用SSLProxyEngine并设X-Forwarded-Proto；启动失败优先检查error_log中模块加载、路径、权限、格式问题。
配置 mod_proxy 实现 OHS 反向代理
ohs 默认不启用反向代理功能，必须显式加载 mod_proxy 和依赖模块。漏掉任一模块会导致 proxypass 指令被忽略，且日志里可能只报“invalid directive”这种模糊错误，而不是明确提示模块未加载。
实操建议：
- 编辑
$ORACLE_HOME/ohs/conf/httpd.conf，确认以下三行已取消注释（顺序不能错）：LoadModule proxy_module modules/mod_proxy.so<br>LoadModule proxy_http_module modules/mod_proxy_http.so<br>LoadModule ssl_module modules/mod_ssl.so
-
ProxyPass和ProxyPassReverse必须放在<virtualhost></virtualhost>块内，不能写在全局上下文；否则启动会失败，报错ProxyPass not allowed here - 后端服务地址要带协议和端口，比如
http://127.0.0.1:8080/，末尾斜杠不能省——省了会导致重定向路径拼接错误，比如访问/api/user可能变成/api/user/多一层
把 SSL 证书装进 OHS 的 ssl.conf 而不是系统目录
OHS 不读取操作系统级的证书存储（如 /etc/pki/tls），所有 SSL 配置必须通过其自身的 ssl.conf 或直接在 httpd.conf 里用 SSLCertificateFile 等指令指定。放错位置等于没装。
实操建议：
- 证书文件（
.crt）、私钥（.key）和中间证书（如有）都应放在$ORACLE_HOME/ohs/conf/下，比如$ORACLE_HOME/ohs/conf/ssl/myapp.crt - 在
ssl.conf的<virtualhost _default_:443></virtualhost>块中，严格按顺序写清三要素：$ORACLE_HOME/ohs/conf/ssl/myapp.crt
- 私钥必须是 PEM 格式、无密码；如果用
openssl rsa -in key.pem -out key-noenc.pem解密过，也要检查权限：OHS 进程用户（通常是oracle）必须有读权限，否则启动时报SSL Library Error: error:0200100D:system library:fopen:Permission denied
HTTP 自动跳转 HTTPS 时别用 RewriteRule 做条件判断
OHS 的 mod_rewrite 在 SSL 上下文中行为不稳定，尤其当 %{HTTPS} 变量在非标准端口或反向代理链中不可靠时，容易导致死循环跳转或 500 错误。更稳妥的方式是用 Redirect 指令配合端口判断。
实操建议：
- 在 HTTP 的
<virtualhost></virtualhost>块里直接写：your-domain.com
，不要依赖RewriteCond %{HTTPS} off - 确保 DNS 或负载层没有把 443 流量又打回 80 端口，否则跳转会无限循环；可临时用
curl -I http://localhost验证 Location 响应头是否指向正确的 HTTPS 地址 - 如果 OHS 前面还有一层 CDN 或 F5，需开启
SSLProxyEngine on并设置RequestHeader set X-Forwarded-Proto "https"，否则后端应用可能误判为 HTTP 请求
OHS 启动失败时重点查 error_log 里的模块加载顺序和路径拼错
OHS 对模块加载顺序极其敏感，比如 mod_ssl 必须在 mod_proxy 之后加载，否则 SSLProxyEngine 会报未知指令；而路径写成相对路径（如 conf/ssl/key.pem）会被解析成相对于 Apache 的根目录，而非 $ORACLE_HOME，结果就是文件找不到。
实操建议：
- 每次修改配置后，先运行
$ORACLE_HOME/ohs/bin/apachectl configtest，它比直接 start 更早暴露路径和语法问题 - 查看
$ORACLE_HOME/ohs/logs/error_log，搜索关键词：Cannot load（模块路径错）、Invalid command（模块未加载）、unable to load certificate（证书格式或权限错） - 证书链文件必须是完整 PEM 链（根 + 中间），且顺序从服务器证书往下到中间证书，不能倒过来；用
openssl crl2pkcs7 -nocrl -certfile chain.pem | openssl pkcs7 -print_certs -noout可验证是否连贯
证书和私钥的路径、权限、格式、模块加载顺序，这四样只要错一样，OHS 就起不来，而且错误提示往往藏得深。别信“配置看起来没问题”，逐项对着日志和实际文件路径核一遍最省时间。
