必须设为require才能强制校验后端证书链有效性、域名匹配和签名可信度；需配套SSLProxyEngine on、SSLProxyCheckPeerName on、SSLProxyCheckPeerExpire on及显式指定SSLProxyCACertificateFile。
要在 Apache 中通过 mod_ssl 对后端 HTTPS 集群服务实施强制身份验证，核心是启用并正确配置 SSLProxyVerify require，同时确保整个 TLS 校验链完整可信。它不是单个指令的事，而是一组协同生效的安全配置。
必须开启 SSLProxyVerify require 并禁用 CN 旧逻辑
SSLProxyVerify 控制 Apache 作为反向代理连接上游 HTTPS 服务时，是否校验对方证书的有效性。默认值为 none，即完全跳过校验 —— 这会让中间人攻击（MITM）在集群内部畅通无阻。
生产环境必须设为 require，它会强制检查三项：
- 证书链是否可追溯至受信任的根 CA（签名有效、未被吊销）
- 证书是否在有效期内（配合 SSLProxyCheckPeerExpire on）
- 证书的主机名是否匹配目标地址（依赖 SSLProxyCheckPeerName on，而非已废弃的 SSLProxyCheckPeerCN）
注意：Apache 2.4.8+ 已彻底移除 SSLProxyCheckPeerCN，写上会启动失败。请删掉所有相关配置，改用 SSLProxyCheckPeerName on。
显式加载后端集群所用的 CA 证书
SSLProxyVerify require 不会自动读取系统级 CA 信任库（如 /etc/ssl/certs/ca-certificates.crt）。若后端集群使用私有 CA（如企业内网 PKI、HashiCorp Vault 签发、或自建 OpenSSL CA），你必须显式指定其根证书文件：
- 用 SSLProxyCACertificateFile 指向一个 PEM 格式的 CA 根证书（不是你的服务端证书！）
- 若有多级中间 CA，可合并进同一 PEM 文件，顺序为：中间 CA 在前，根 CA 在最后
- 确保 Apache 进程用户（如 www-data 或 apache）对该文件有读权限，SELinux 上下文也需允许（RHEL/CentOS 尤其注意）
严格校验主机名与证书 SAN 匹配
集群中每个节点的证书必须包含正确的 Subject Alternative Name（SAN），且至少有一项与 ProxyPass 目标域名完全一致。例如：
- 配置了 ProxyPass /api https://svc-a.cluster.local/，则 svc-a.cluster.local 的证书必须含 DNS:svc-a.cluster.local
- 仅靠 CN 字段匹配无效；通配符如 *.cluster.local 也不匹配非一级子域名（如 svc-a.b.cluster.local）
- 若集群使用轮询 DNS 或 VIP，建议后端证书覆盖全部可能解析到的主机名，或统一使用内部服务发现域名
配套关键参数不可遗漏
SSLProxyVerify require 单独存在无法生效，以下指令必须成套启用：
- SSLProxyEngine on：这是前提，否则 Apache 根本不会以 HTTPS 客户端方式连接后端
- SSLProxyCheckPeerName on：启用基于 SAN 的主机名校验（现代唯一有效方式）
- SSLProxyCheckPeerExpire on：拒绝使用已过期证书的后端节点，避免静默失效
- SSLProxyVerifyDepth 2（可选但推荐）：明确限制证书链深度，防止恶意构造超长链耗尽资源
调试时若遇到 500 错误或 “SSL handshake failed”，优先用 openssl s_client -connect svc-a.cluster.local:443 -CAfile /path/to/internal-ca.crt 模拟 Apache 握手行为，快速定位是证书链、主机名还是时间问题。
