sslproxycheckpeercn已废弃且无效，无法防止中间人攻击；应改用sslproxycheckpeername on配合sslproxyverify require，依据rfc 6125校验san字段并验证证书链。
SSLProxyCheckPeerCN 不能用于防止中间人攻击，它早已失效，且本身就不安全。
这个指令在 Apache 2.4.8 中被标记为废弃，2.4.26 版本起彻底移除。如果你在配置中写入：
SSLProxyCheckPeerCN on
Apache 启动时会直接报错：
Invalid command 'SSLProxyCheckPeerCN', perhaps misspelled or defined by a module not included in the server configuration
根本原因在于：仅校验证书的 CN（Common Name）字段存在严重缺陷
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 不支持现代证书广泛使用的
Subject Alternative Name（SAN） - 无法正确处理通配符（如
*.api.example.com）的精确匹配逻辑 - 容易被构造恶意证书绕过，不具备实际防护能力
✅ 正确替代方案：用 SSLProxyCheckPeerName + SSLProxyVerify require
这才是当前 Apache（2.4.8+）唯一有效、符合 RFC 6125 的后端证书主机名校验机制：
-
SSLProxyCheckPeerName on：强制检查后端证书中的 SAN（优先）或 CN（仅无 SAN 时回退）是否匹配ProxyPass目标域名 -
SSLProxyVerify require：强制验证证书链有效性（签名、有效期、吊销状态等） - 二者必须同时启用，缺一不可
示例配置片段：
SSLProxyEngine on SSLProxyVerify require SSLProxyCheckPeerName on SSLProxyCheckPeerExpire on SSLProxyCheckPeerCN off # 显式关闭（虽已无效，但可避免混淆） SSLProxyCACertificateFile /etc/ssl/certs/internal-ca.pem ProxyPass /api https://svc.internal:8443/api
⚠️ 注意：
-
svc.internal必须出现在后端证书的DNS:类型 SAN 字段中（仅CN = svc.internal不生效） - 若后端使用私有 CA 签发的证书，
SSLProxyCACertificateFile必须指向该 CA 的根证书（PEM 格式），系统级信任库默认不生效 - 时间偏差超过 5 分钟会导致
SSLProxyCheckPeerExpire on拒绝连接，错误日志提示极简，需排查服务器时间同步（如chronyd）
❌ 为什么不能靠“关掉 SSLProxyCheckPeerCN”来增强安全？
它不是“开关”，而是一个已被删除的语法。保留它只会让 Apache 启动失败；试图通过降级 Apache 版本或加载旧模块“恢复”它，反而引入已知漏洞和维护风险。
真正的防御逻辑是：
→ 建立可信 TLS 连接（SSLProxyVerify require）
→ 确认你连的是预期的后端（SSLProxyCheckPeerName on）
→ 配合可信 CA 证书路径与严格时间校验
不复杂但容易忽略。
