怎么利用Apache mod_proxy_ftp实现Web界面对外部FTP资源的代理-Apache-PHP中文网

mod_proxy_ftp在apache 2.4.12+中已被彻底移除，仅支持明文ftp、无法处理mlsd/ftps、不重写pasv地址、不渲染html目录，现代环境基本不可用。

怎么利用apache mod_proxy_ftp实现web界面对外部ftp资源的代理

mod_proxy_ftp 是 Apache 2.4 自带的模块，专用于将 FTP 资源通过 HTTP 协议代理暴露——但它**不支持主动模式 FTP 的被动响应重写**，也不处理 FTP 目录列表的 HTML 渲染，更无法代理 FTPS（加密 FTP）。如果你的目标是“让用户在浏览器里点点点访问外部 FTP 站点”，直接靠 mod_proxy_ftp 很难走通。

为什么 `mod_proxy_ftp` 在现代环境基本不可用

Apache 官方早在 2.4.12 后就标记该模块为 experimental，且明确不推荐生产使用。核心问题包括：

mod_proxy_ftp 只支持 FTP（明文），完全不识别 ftps:// 或 ftp:// 带 TLS 的 URL
它依赖远程 FTP 服务器返回的原始 LIST 响应，而多数现代 FTP 服务（如 vsftpd、Pure-FTPd）默认返回 Unix 风格或 MLSD 格式，mod_proxy_ftp 只能解析旧式 Unix LIST，解析失败就返回空目录或 500 错误
它不做 PASV 模式端口重写：当后端 FTP 返回 227 Entering Passive Mode (192,168,1,100,123,45)，Apache 不会把 192.168.1.100 替换为你的公网 IP，浏览器直连内网地址必然超时
不支持认证透传以外的任何用户隔离：所有请求都以 Apache 进程用户身份（如 www-data）发起，无法按 HTTP 请求头区分不同终端用户所对应的 FTP 凭据

替代方案：用 `mod_proxy_http` + 轻量 FTP Web Proxy 服务

真正可行的做法，是绕过 mod_proxy_ftp，改用一个专用的、可部署在本机的中间服务，把 FTP 转成 RESTful HTTP 接口，再由 Apache 反向代理它。推荐两个轻量选择：

ftpserver-webproxy（Go 编写，单二进制，无依赖）：监听 :8080，接收 GET /files/example.com/path/to/file.zip，内部用 net/ftp 连接远端，支持 BASIC 认证透传、MLSD 解析、PASV 自动端口映射
pyftpdlib + flask（Python）：启动一个本地 FTP client proxy server，用 flask 暴露 /ls、/get、/download 等端点，配合 mod_proxy_http 反向代理

例如，部署好 ftpserver-webproxy 后，在 Apache 中启用：

ProxyPass "/ftp/" "http://127.0.0.1:8080/"
ProxyPassReverse "/ftp/" "http://127.0.0.1:8080/"

用户访问 https://yoursite.com/ftp/example.com/pub/ 即可看到目录列表（HTML 自动渲染），点击下载文件。

如果坚持试用 `mod_proxy_ftp`（仅限测试/内网）

必须满足三个硬性前提：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

后端 FTP 服务器必须开启 ls -la 风格的 LIST 响应（如 ProFTPD 配置 ListOptions "-la"），禁用 MLSD
后端 FTP 必须运行在与 Apache 同一局域网，并启用主动模式（Port mode），或手动配置 PASV 地址映射（ProxyFtpDirCharset UTF-8 + ProxyBadHeader Ignore）
Apache 必须加载模块：a2enmod proxy proxy_ftp，且 VirtualHost 中显式启用：ProxyRequests Off 和 <proxy> Require all granted </proxy>

最小可用配置示例：

<virtualhost>
    ServerName ftp-proxy.local
    ProxyRequests Off
    <proxy>
        Require all granted
    </proxy>
    ProxyPass "/mirror/" "ftp://user:pass@legacy-ftp.example.com/"
    ProxyPassReverse "/mirror/" "ftp://user:pass@legacy-ftp.example.com/"
</virtualhost>

注意：ProxyPass 中的 FTP URL 不能含路径（如 /pub/），否则 Apache 会报 Proxy Ftp: path component not allowed in URL；路径必须由客户端拼在请求 URI 中，且模块对中文路径支持极差（需提前 URL 编码）。

最常被忽略的权限与编码陷阱

即使配置全对，也会卡在以下两点：

mod_proxy_ftp 默认以 Apache 工作进程用户（如 www-data）发起 FTP 连接，若该用户被防火墙限制出站 FTP 端口（21/TCP、随机高位端口），连接直接被系统丢弃，日志只显示 Connection refused，实际是 connect() failed
FTP 服务器返回的文件名若含非 ASCII 字符（如中文、日文），mod_proxy_ftp 不做字符集转换，默认按 Latin-1 解码，导致目录页显示乱码；必须在配置中加 ProxyFtpDirCharset UTF-8，且确保 FTP 服务本身也声明了 UTF-8（如 Pure-FTPd 的 -D 参数）

没有统一的字符集协商机制，是 FTP 协议层遗留问题，mod_proxy_ftp 无力解决——这也是它被废弃的根本原因之一。