SSLProxyVerifyDepth用于限制Apache反向代理校验后端HTTPS证书链的最大层级数，必须配合SSLProxyVerify require、SSLProxyEngine on及SSLProxyCACertificateFile协同生效；默认值1仅支持终端证书直连中间CA，实际多级链需设为2或3以避免握手失败，过高则降低安全性。

SSLProxyVerifyDepth 用于限制 Apache 在反向代理连接后端 HTTPS 服务时，校验证书链的最大信任层级数（即从后端服务器证书向上追溯 CA 的跳数）。它必须配合 SSLProxyVerify require 使用，否则无效。默认值是 1，意味着只验证后端证书是否由直接签发的中间 CA 签署，不继续向上验根；设为 2 则允许一层中间 CA + 一个根 CA，以此类推。

为什么需要设置 SSLProxyVerifyDepth

现代 TLS 证书链常含多级中间 CA（如 Let’s Encrypt 的 R3 → ISRG Root X1），若深度设得太浅（如保持默认 1），Apache 会拒绝完整但层级为 2 的合法链，报错 SSL handshake failed 或 unable to get local issuer certificate。设得过深又可能引入不可信的长链风险。合理设值能让校验既严格又兼容实际部署。

如何正确配置 SSLProxyVerifyDepth

该指令不能单独生效，需与以下三项协同使用：

WebChat Voice Proxy

⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**

下载

• SSLProxyEngine on：启用代理模式下的 HTTPS 客户端能力
• SSLProxyVerify require：激活证书链完整性、签名和有效期校验
• SSLProxyCACertificateFile 或 SSLProxyCACertificatePath：明确指定可信根/中间 CA 证书（系统信任库不自动生效）

在 <virtualhost></virtualhost> 或 <proxy></proxy> 块中添加：

SSLProxyVerifyDepth 2

常见取值与适用场景

• 1：仅接受后端证书直连可信 CA（适合自签名证书或单级私有 PKI）
• 2：支持主流公有 CA 链（如 Let’s Encrypt、DigiCert、Sectigo 的典型两级结构），生产环境最常用
• 3 或更高：仅在存在多层嵌套中间 CA 的特殊内网 PKI 中使用，需确保每级 CA 证书均已加载到 SSLProxyCACertificateFile

调试与排错要点

设错深度不会静默忽略，而是导致连接失败并记录模糊错误。快速确认方法：

• 用 openssl s_client -connect backend.example.com:443 -showcerts 查看后端返回的完整证书链，数一数 PEM 块数量（每个 BEGIN CERTIFICATE 算一级）
• 检查 error_log 中是否出现 unable to get issuer certificate —— 这通常表示深度不足或 CA 文件缺失
• 确保 SSLProxyCACertificateFile 包含链中所有上级 CA，但**不包含后端服务器证书本身**