SSLProxyVerifyDepth 是 Apache mod_ssl 中控制反向代理证书链验证深度的指令，值为 n 表示最多允许 n−1 级中间 CA（如值为 2 支持终端→中间CA→根CA），须与 SSLProxyEngine on、SSLProxyVerify 及 SSLProxyCACertificateFile 协同生效。
apache 的 sslproxyverifydepth 指令用于控制反向代理场景下，对后端 https 服务证书链的验证深度，即允许中间 ca 的最大跳数。它不适用于 nginx（nginx 对应的是 proxy_ssl_verify_depth），而是 apache mod_ssl 模块中专用于代理验证的关键参数。
SSLProxyVerifyDepth 的作用机制
该指令设定的是“中间证书颁发者数量”的上限，而非证书总层数：
- 值为 0：仅接受自签名证书（终端证书自身就是信任锚）
- 值为 1：终端证书必须由根 CA 直接签发（无中间 CA）
- 值为 2：允许一级中间 CA（终端 → 中间 CA → 根 CA）
- 值为 3：允许两级中间 CA（终端 → 中间 CA1 → 中间 CA2 → 根 CA）
它配合 SSLProxyVerify 启用后，决定 Apache 在验证后端证书时，最多向上追溯几级签发者。过浅会拒绝合法多层链，过深可能引入不可信中间环节。
必须配套启用的代理验证指令
SSLProxyVerifyDepth 单独设置无效，需与以下三项协同生效：
-
SSLProxyEngine on：开启代理 SSL/TLS 功能（必需前提） -
SSLProxyVerify require或SSLProxyVerify optional：明确启用证书校验（默认不校验） -
SSLProxyCACertificateFile或SSLProxyCACertificatePath：指定可信根证书及中间证书集合（必须含完整链，缺一不可）
若未配置可信 CA 文件，即使 depth 设对，也会因找不到信任锚而失败；若未开 SSLProxyVerify，depth 设置被完全忽略。
典型虚拟主机配置示例
以下为 Apache 虚拟主机中安全代理后端 API 的标准写法：
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
ServerName proxy.example.com
SSLProxyEngine on
SSLProxyVerify require
SSLProxyVerifyDepth 2
SSLProxyCACertificateFile /etc/ssl/certs/internal-ca-bundle.pem
ProxyPass /api/ https://backend.internal/api/
ProxyPassReverse /api/ https://backend.internal/api/
其中 /etc/ssl/certs/internal-ca-bundle.pem 必须包含后端所用的全部中间 CA 和根 CA 证书（PEM 格式拼接），且顺序不限；SSLProxyVerifyDepth 2 表明接受最多含一级中间 CA 的证书链，覆盖 Let’s Encrypt R3、常见企业三级 PKI 等主流部署。
验证是否生效的方法
重启 Apache 后，通过请求触发代理并检查错误日志：
- 成功：返回正常响应，
error_log中无SSL Proxy: Certificate verification failed类报错 - 失败：返回 502 或连接中断，日志中出现
unable to get local issuer certificate或certificate chain too long—— 前者说明 CA 文件缺失中间证书，后者说明SSLProxyVerifyDepth设得太小
可使用 openssl s_client -connect backend.internal:443 -showcerts 手动查看后端实际证书链长度，据此调整 depth 值。
