必须启用SSLProxyEngine on并配置SSLProxyVerify require、SSLProxyCACertificateFile指向可信CA根证书、SSLProxyCheckPeerName on等协同指令，否则无法强制校验后端HTTPS证书。

要在 apache 虚拟主机中对后端 https 服务强制校验证书，核心是启用 sslproxyverify require 并配齐依赖项。它不是单独一行就能生效的开关，而是一套必须协同工作的安全链条。

必须开启 SSLProxyEngine 和 SSLProxyVerify require

SSLProxyVerify 只在代理模式下起作用，前提是 Apache 先以 HTTPS 客户端身份连接后端——这需要显式开启 SSLProxyEngine：

• SSLProxyEngine on：必须放在 块内，否则所有 HTTPS 后端连接都会失败（502 错误 + 日志报 “SSL Proxy requested but SSLProxyEngine is not enabled”）
• SSLProxyVerify require：这是强制校验的唯一有效值。设为 optional 或 none 等同于关闭校验，存在中间人攻击风险

必须指定可信 CA 证书路径

Apache 不会自动读取系统级 CA 信任库（如 /etc/ssl/certs/ca-certificates.crt）。若后端用的是私有 CA、企业内网 PKI 或自签名证书，必须显式加载其根证书：

• 用 SSLProxyCACertificateFile 指向 PEM 格式的 CA 根证书文件（不是你自己的服务端证书！）
• 确保 Apache 进程用户（如 www-data 或 apache）对该文件有读取权限
• SELinux 启用的系统（如 RHEL/CentOS）还需检查上下文：ls -Z /path/to/ca.crt，必要时运行 restorecon

必须启用 SAN 主机名校验

现代 TLS 要求基于 Subject Alternative Name（SAN）而非 CN 字段做域名匹配。相关指令需配合使用：

SSL Certificate Checker

SSL/TLS 证书到期检查器和域名健康监控。检查证书到期、颁发者信息、SAN 条目及证书链有效性，适用于单个或多个域名。

下载

• SSLProxyCheckPeerName on：替代已废弃的 SSLProxyCheckPeerCN，强制校验后端证书 SAN 中是否包含 ProxyPass 目标域名（如 https://api.internal → 证书需含 DNS:api.internal）
• SSLProxyCheckPeerExpire on：校验后端证书是否过期（时间偏差超过 5 分钟即拒绝）
• SSLProxyCheckPeerCN off：明确禁用旧式 CN 匹配，避免歧义

典型配置片段（可直接嵌入 VirtualHost）

假设你要代理 /api/ 到内网 HTTPS 服务 https://svc.internal:8443，且其证书由公司内部 CA 签发：

<virtualhost>
  ServerName proxy.example.com
  ProxyRequests Off

  SSLProxyEngine on
  SSLProxyVerify require
  SSLProxyCheckPeerName on
  SSLProxyCheckPeerExpire on
  SSLProxyCheckPeerCN off
  SSLProxyCACertificateFile /etc/ssl/certs/internal-ca.crt

  ProxyPass /api/ https://svc.internal:8443/
  ProxyPassReverse /api/ https://svc.internal:8443/
  ProxyPreserveHost on
</virtualhost>