必须设为require才能强制校验后端证书链有效性、域名匹配和签名可信度；需同步启用sslproxyengine on、指定sslproxycacertificatefile、开启sslproxycheckpeername on与sslproxycheckpeerexpire on，并关闭sslproxycheckpeercn off。

要让 Apache 在反向代理 HTTPS 后端时真正验证对方身份，必须启用 SSLProxyVerify require，并配齐信任链和校验策略。只写这一行远远不够，缺一环就会连接失败，且错误提示非常模糊。

SSLProxyVerify require 的真实作用

它不是控制 Apache 自己对外的证书，而是强制 Apache 作为 HTTPS 客户端时，对后端服务器证书做三重检查：

• 证书链是否可追溯到受信 CA（不依赖系统默认信任库）
• 证书中的 Subject Alternative Name（SAN）是否与 ProxyPass 目标域名完全一致
• 证书是否在有效期内（配合 SSLProxyCheckPeerExpire on）

设为 optional 或 none 等同于关闭校验，中间人攻击风险直接存在。

最小必要配置组合

单独一行 SSLProxyVerify require 会大概率导致 500 错误或连接重置。必须同步设置以下几项：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• SSLProxyEngine on：启用代理模式下的 HTTPS 客户端能力（否则连握手都发不出）
• SSLProxyCACertificateFile /path/to/backend-ca.crt：明确指定后端所用 CA 的根证书（PEM 格式），不能指望系统级 ca-certificates.crt
• SSLProxyCheckPeerName on：启用 SAN 匹配检查（仅 CN 匹配无效）
• SSLProxyCheckPeerExpire on：检查证书有效期（后端时间偏差超 5 分钟即拒绝）
• SSLProxyCheckPeerCN off：关闭过时的 CN 检查，避免干扰 SAN 校验

常见失败原因与快速修复

启用后报错 500 或 “SSL handshake failed”，优先排查这三项：

• CA 文件路径或权限不对：确认 Apache 进程用户（如 www-data）能读取 SSLProxyCACertificateFile 指定的文件；检查 SELinux 上下文（RHEL/CentOS）
• 后端证书缺少对应 SAN：比如 ProxyPass 指向 https://api.internal，则后端证书必须包含 DNS:api.internal，不能只靠 CN
• 后端服务器时间不准：用 ntpdate -q pool.ntp.org 或 chronyc tracking 检查偏差，超过 ±5 分钟就会被 SSLProxyCheckPeerExpire on 拒绝

调试建议：别靠猜

出问题时，打开 Apache 错误日志（LogLevel warn 或 info），重点看：

• 是否有 unable to get local issuer certificate → CA 文件没加载或路径错
• 是否有 certificate verification failed for + 域名 → SAN 不匹配或证书过期
• 是否反复出现 SSL connect error → 先确认 SSLProxyEngine on 已启用

临时验证可用 SSLProxyVerify none 排除协议层问题，但切勿保留在生产环境。