apache作为反向代理实现https卸载，本质是让其承担tls解密并将http请求转发至后端，从而减压、统管证书与安全策略；需启用mod_ssl、mod_proxy及mod_proxy_http模块，配置ssl虚拟主机监听443端口并正确设置证书、proxypass/proxypassreverse、安全头及tls策略。

Apache 作为反向代理实现 HTTPS 卸载，本质是让 Apache 承担 TLS 解密工作，把解密后的 HTTP 请求转发给后端（通常是内网 HTTP 服务），从而减轻后端计算压力、统一证书管理与安全策略。关键不是“能不能”，而是“怎么配得既通又稳还安全”。

启用必要模块并确认监听配置

Apache 必须加载 mod_ssl（处理 HTTPS）、mod_proxy 和 mod_proxy_http（转发 HTTP 请求）。在 CentOS/RHEL 上运行：

• sudo a2enmod ssl proxy proxy_http（Ubuntu/Debian）或检查 /etc/httpd/conf.modules.d/ 下对应 .conf 文件是否已启用（CentOS）
• 确保 Listen 443 已在主配置中声明
• SSL 虚拟主机必须绑定 *:443，且 SSLEngine on 不可遗漏

配置证书与代理转发规则

使用真实有效的证书（如 Let’s Encrypt 获取的 fullchain.pem + privkey.pem）。核心转发逻辑如下：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• ProxyPass / http://backend-server:8080/ —— 将所有请求转发到后端 HTTP 地址
• ProxyPassReverse / http://backend-server:8080/ —— 重写后端返回的 Location、Set-Cookie 等头，避免跳转暴露内网地址
• ProxyPreserveHost On —— 让后端收到的 Host 头保持原始域名，便于虚拟主机识别
• 添加 RequestHeader set X-Forwarded-Proto "https" 和 X-Forwarded-Port "443"，方便后端判断原始协议

注入安全头并收紧 TLS 策略

卸载不等于放松——前端 HTTPS 的安全性必须主动加固：

• 用 Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" 强制浏览器只走 HTTPS
• 禁用旧协议：SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1（仅保留 TLS 1.2+）
• 限定加密套件：SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:...，优先前向保密（PFS）
• 加上 SSLHonorCipherOrder on 和 SSLCompression off 防止降级与 CRIME 攻击

验证与基础防护补全

配置完成后不能只测“能打开”，还要确认链路可信、行为合规：

• 重启服务：sudo systemctl restart httpd（CentOS）或 sudo systemctl restart apache2（Ubuntu）
• 用 curl -I https://yourdomain.com 检查响应头是否含 Strict-Transport-Security 和 X-Frame-Options
• 确认后端日志中 X-Forwarded-Proto 为 https，且无明文 HTTP 回源痕迹
• SELinux 用户需执行 sudo setsebool -P httpd_can_network_connect 1；防火墙放行 443 端口