apache无法用mod_proxy脱敏响应体，必须用mod_substitute配合mod_filter实现；需启用模块、匹配mime类型、限定路径、关闭压缩，并注意正则语法与编码安全。
Apache 本身不能直接用 mod_proxy 对响应体做脱敏——mod_proxy 只负责转发请求和响应，不解析、不修改响应正文内容。真正能实现响应体实时脱敏的，只有 mod_substitute，且必须与 mod_filter 配合使用。
为什么 mod_proxy 无法脱敏响应内容
mod_proxy 的职责是协议代理与流量中转，它把后端返回的原始响应体原样传递给客户端，中间不做任何文本替换。即使你启用了 ProxyPass 和 ProxyPassReverse，响应里的身份证号、手机号、邮箱等字段依然明文暴露。
-
mod_headers只能操作 HTTP 响应头（如Set-Cookie、X-Frame-Options），改不了 JSON 或 HTML 正文 -
mod_proxy不提供正则替换能力；mod_proxy_html仅处理 HTML 标签属性（如href、src），不支持 JSON 或纯文本字段 - 所有对响应体内容的改写，必须由
mod_substitute完成，且它依赖mod_filter注册过滤链才能生效
正确启用 mod_substitute 实现脱敏
脱敏不是加一条 Substitute 就完事，需满足四个前提：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 确保已启用模块：
a2enmod substitute filter（Debian/Ubuntu）或手动加载LoadModule substitute_module modules/mod_substitute.so和LoadModule filter_module modules/mod_filter.so - 显式声明 MIME 类型匹配：用
AddOutputFilterByType SUBSTITUTE text/html application/json——注意，若后端返回application/json; charset=utf-8，Apache 默认不识别带参数的类型，必须写成application/json - 在匹配路径下启用过滤：用
<locationmatch></locationmatch>包裹配置，避免全局误伤 - 关闭响应压缩：
SetEnv no-gzip 1，否则 gzip 后的二进制流无法被正则匹配
编写安全可靠的脱敏规则
规则语法为 s///g（或换分隔符如 s#...#...#g），关键细节包括：
- 双引号必须转义：
"idCard":"11010119900307251X"→\"idCard\":\"[0-9]{17}[0-9X]\" - 不能用
\d，Apache 正则不支持，只能用[0-9] - 手机号含斜杠时（如
"phone":"/138****1234/"），改用#作分隔符避免冲突：Substitute "s#\"phone\":\"[0-9]{11}\"#\"phone\":\"****1234\"#g" - 加
i标志忽略大小写，加n防止点号跨行误匹配：s/\"email\":\"[^\"\n]+@[^\"\n]+\"/\"email\":\"***@***.***\"/in
规避常见陷阱与增强可靠性
单纯靠 Apache 脱敏有局限，建议组合使用以下措施提升健壮性：
- 后端 Java 应用主动设响应头：
Cache-Control: no-store, private，防止脱敏后的内容被缓存泄露 - 敏感接口禁用
mod_cache：<location> CacheDisable on </location> - 避免中文字符参与正则匹配，防止 UTF-8 字节截断导致 JS 报错或页面乱码
- 调试时开启日志：
LogLevel alert substitute:trace5，确认 Substitute 是否触发、匹配是否成功 - 复杂场景（如嵌套 JSON、DOM 结构化替换）建议前置到后端模板或改用 Nginx
sub_filter（性能更稳）
