sslproxycheckpeerexpire用于强制校验后端https证书有效期，必须配合sslproxyverify require和sslproxycacertificatefile才能生效；默认on但仅在sslproxyverify require启用时起作用，时间偏差超5分钟也会触发“证书过期”错误。
SSLProxyCheckPeerExpire 是 Apache mod_ssl 中用于在反向代理连接后端 HTTPS 服务时，主动校验其证书是否已过期的关键指令。它不单独起作用，必须配合 SSLProxyVerify require 和正确的 CA 信任配置，才能真正拦截因证书过期导致的中间人或失效连接风险。
SSLProxyCheckPeerExpire 的作用与必要性
- 它强制 Apache 在 TLS 握手阶段检查后端服务器证书的
Not Before和Not After时间字段。 - 若后端证书已过期（或尚未生效），Apache 会拒绝建立连接，返回
502 Bad Gateway，并在 error_log 中记录类似：SSL Proxy: Peer certificate has expired
-
默认值是
on（自 Apache 2.4.8 起），但仅当SSLProxyVerify require启用时才实际生效；设为off则跳过有效期检查——这会绕过一项基础安全防线。
⚠️ 注意：时间偏差也会触发该错误。若后端服务器系统时间比 Apache 服务器快/慢超过 5 分钟，即使证书本身未过期，也会被判定为“已过期”。
启用 SSLProxyCheckPeerExpire 的前提条件
它不是独立开关，而是整个后端证书校验链的一环。以下三项缺一不可：
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
-
SSLProxyEngine on
→ 启用代理模式下的 HTTPS 客户端能力 -
SSLProxyVerify require
→ 强制验证证书签名、链完整性、吊销状态（如 OCSP/CRL） -
SSLProxyCACertificateFile或SSLProxyCACertificatePath
→ 显式指定可信 CA 根证书（尤其对私有 CA 或内网签发证书）
只有在这三者就位的前提下，SSLProxyCheckPeerExpire on 才会真正参与校验逻辑。
正确配置示例（含防过期保护）
<virtualhost>
ServerName proxy.example.com
SSLProxyEngine on
SSLProxyVerify require
SSLProxyCheckPeerName on
SSLProxyCheckPeerExpire on
SSLProxyVerifyDepth 2
# 指向后端 HTTPS 服务使用的 CA 根证书（不是你自己的证书！）
SSLProxyCACertificateFile /etc/ssl/certs/internal-ca.pem
ProxyPreserveHost on
ProxyPass /api https://backend.internal:8443/api
ProxyPassReverse /api https://backend.internal:8443/api
</virtualhost>
✅ 关键点说明：
-
SSLProxyCheckPeerExpire on显式写出更清晰（尽管是默认值），避免被误关 -
SSLProxyCheckPeerName on确保同时校验主机名（SAN），防止证书被错用 -
SSLProxyVerifyDepth 2允许两级证书链（根 CA → 中间 CA → 终端证书），适配常见 PKI 结构
常见问题与排查建议
现象：502 错误 + 日志报
Peer certificate has expired，但确认证书没过期
→ 检查后端服务器系统时间是否同步（ntpq -p或timedatectl status），误差需控制在 ±5 分钟内现象：启用后立即失败，日志无明确提示
→ 先用openssl s_client -connect backend.internal:8443 -CAfile /etc/ssl/certs/internal-ca.pem手动测试握手是否成功，排除证书链或路径问题后端用 Let’s Encrypt 等公有 CA 证书？
→ 仍需SSLProxyCACertificateFile指向系统级 CA 包（如/etc/ssl/certs/ca-certificates.crt），因为 Apache 默认不自动加载系统信任库能否只校验过期、不校验域名或签名？
→ 不行。SSLProxyVerify require是整体开关，无法拆解。若只想禁用某项（如跳过主机名校验），应改用SSLProxyCheckPeerName off，但会显著降低安全性，不推荐。
不复杂但容易忽略
