如何解决 Apache 动态请求的头部信息丢失问题-Apache-PHP中文网

apache动态请求中请求头丢失的根源在于默认过滤机制，需按类型修复：authorization头需启用wsgipassauthorization；下划线header须通过rewrite或改用连字符；反向代理需显式proxy_set_header并处理大小写。

如何解决 apache 动态请求的头部信息丢失问题

Apache 动态请求（如 WSGI、FastCGI、反向代理等场景）中请求头丢失，尤其是 Authorization、X-Forwarded-For、自定义带下划线的 Header（如 auth_token）等，是高频问题。根本原因在于 Apache 默认对某些请求头做了过滤或未显式透传，需结合模块行为与配置项针对性修复。

确认丢失的是哪类请求头

不同机制下丢失原因不同，先定位类型：

Authorization 头丢失：最常见于 WSGI 应用（Django/Flask），因 mod_wsgi 默认不转发该头；
自定义头（含下划线）丢失：Apache 内部将含下划线的 Header 视为非法字段，直接丢弃（类似 Nginx 的 underscores_in_headers 行为）；
反向代理中 Host/X-Real-IP 等标准头异常：未在 ProxyPass 或 ProxyPassMatch 上游配置 proxy_set_header 指令；
大写首字母被转小写（如 Authorization → authorization）：HTTP/1.1 协议规范允许头名大小写不敏感，但部分后端框架（如 Java Servlet）严格按原始大小写取值。

WSGI 场景：启用 WSGIPassAuthorization

若使用 mod_wsgi 托管 Python 应用（如 Django、Flask），必须显式开启授权头透传：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

在虚拟主机或目录配置中添加：
WSGIPassAuthorization On
该指令告诉 mod_wsgi 将原始 Authorization 头注入 WSGI 环境变量 HTTP_AUTHORIZATION；
无需额外设置 SetEnvIf，后者仅用于 CGI/PHP 等旧模式，且不能解决大小写问题。

反向代理场景：补全 proxy_set_header 与大小写处理

当 Apache 作为反向代理（mod_proxy）时，需手动声明要传递的头：

基础头必须显式设置：
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
关键头需单独映射（避免大小写丢失）：
proxy_set_header Authorization $http_authorization;（注意变量名是小写 $http_authorization）
若后端依赖原始大小写（如 Java 中用 request.getHeader("Authorization")），可加一层重写：
RequestHeader set Authorization "%{HTTP:authorization}e" env=authorization_exists
配合 SetEnvIf 检测并还原。

含下划线的自定义 Header（如 auth_token）

Apache 默认忽略含下划线的请求头字段（安全策略），需主动启用解析：

在 httpd.conf 或虚拟主机的 <virtualhost></virtualhost> 块顶部添加：
RewriteEngine On
RewriteCond %{HTTP:auth_token} ^(.+)$
RewriteRule .* - [E=AUTH_TOKEN:%1]
再通过 RequestHeader set auth-token "%{AUTH_TOKEN}e" 转为连字符格式透传；
更简单做法：前端改用连字符（auth-token），后端同步适配——这是最兼容、零配置风险的方式。

不复杂但容易忽略：多数丢失不是 Apache “坏了”，而是它默认只做最小化透传。补全配置后务必重启服务，并用 curl -H "Authorization: Bearer xxx" http://your-server/api 配合后端日志验证是否收到原始头。