proxypassreverse用于修正后端重定向响应中的location等头部url，将其内网地址替换为客户端访问的公网地址；必须与proxypass路径前缀严格一致（含末尾斜杠），且协议、域名、端口需完全匹配后端实际返回值，否则无法生效。
ProxyPassReverse 的作用是修正后端服务在 302、301 等重定向响应中返回的 Location、Content-Location 和 URI 响应头里的绝对 URL，把其中的内网地址（如 http://127.0.0.1:8080/login）替换成客户端实际访问的公网地址（如 https://example.com/login）。它不改 HTML 内容、不处理 Cookie、也不影响相对路径跳转。
必须和 ProxyPass 配对，路径前缀要完全一致
ProxyPassReverse 不是独立生效的指令，它依赖 ProxyPass 定义的代理规则。两者第一个参数（路径前缀）必须严格相同，包括末尾斜杠：
- ProxyPass /app/ http://127.0.0.1:8080/ → ProxyPassReverse /app/ http://127.0.0.1:8080/ ✅
- ProxyPass /app/ http://127.0.0.1:8080/ → ProxyPassReverse /app http://127.0.0.1:8080/ ❌（少斜杠，无法匹配）
- ProxyPass /api/ http://svc:3000/v1/ → ProxyPassReverse /api/ http://svc:3000/v1/ ✅
协议、域名、端口必须和后端返回的一致才能匹配
它是精确前缀匹配，不是模糊替换。后端返回什么格式，ProxyPassReverse 就得写什么格式：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 后端返回
Location: https://127.0.0.1:8080/callback，但你配的是http://127.0.0.1:8080/→ 不会替换 - 后端返回
Location: http://127.0.0.1:8080:8080/login（多一个冒号和端口），你配的是http://127.0.0.1:8080/→ 匹配失败 - 建议后端统一用相对路径跳转（如
Location: /login），这样完全绕过域名暴露问题，也无需 ProxyPassReverse 参与
多个后端服务要分别配置，不能复用
每个 ProxyPass 对应的服务，都需要自己专属的 ProxyPassReverse。Apache 不会自动推导或跨路径复用：
- 正确写法：
ProxyPass /api/ http://api-svc:3000/
ProxyPassReverse /api/ http://api-svc:3000/
ProxyPass /auth/ http://auth-svc:4000/
ProxyPassReverse /auth/ http://auth-svc:4000/ - 如果只配了
/api/的 ProxyPassReverse，而/auth/接口返回了Location: http://auth-svc:4000/login，这个地址将原样发给浏览器，直接暴露内网
常见失效排查要点
明明写了 ProxyPassReverse，302 还是跳去内网？先检查这几项：
- 确认
mod_proxy和mod_proxy_http已启用（执行a2enmod proxy proxy_http） - 查看 Apache 错误日志（
error.log），是否有模块未加载或语法错误提示 - 用 curl -v 访问触发跳转的接口，确认后端返回的 Location 值是否含协议+域名+端口，再核对 ProxyPassReverse 的第二个参数是否完全一致
- 检查是否遗漏
ProxyPreserveHost On—— 某些后端依赖 Host 头生成跳转地址，关掉会导致其误判为本地地址
