怎么使用 Apache 负载均衡器限制特定请求来源-Apache-PHP中文网

apache本身不是专业负载均衡器，而是通过mod_proxy_balancer模块实现反向代理与简易负载分发；限制请求来源需在代理配置中对客户端ip、referer、user-agent或自定义header进行前置过滤，而非操作所谓“负载均衡器”。

怎么使用 apache 负载均衡器限制特定请求来源

Apache 本身不是负载均衡器，它是一个 Web 服务器。虽然可通过 mod_proxy_balancer 模块实现反向代理+后端节点分发（即简易负载均衡功能），但它的核心定位仍是 HTTP 服务与请求处理，而非专业负载均衡设备（如 Nginx、HAProxy 或云 LB）。因此，“使用 Apache 负载均衡器限制特定请求来源”这一说法存在概念混淆——实际操作中，你是在 Apache 的反向代理配置中，对转发前的客户端请求做来源控制。

这类限制通常发生在两个层面：

IP 层面（真实客户端或上层代理 IP）
HTTP 头层面（如 Referer、User-Agent、自定义 Header）

下面分场景说明实用、可落地的配置方式：

限制特定 IP 或网段访问代理入口

适用于只允许内网运维、合作平台或可信 CDN 回源流量访问你的代理端点。

确保 mod_remoteip（若需识别真实 IP）和 mod_proxy 已启用：

sudo a2enmod proxy proxy_http remoteip
sudo systemctl restart apache2

在虚拟主机或 <virtualhost></virtualhost> 块中配置：

<virtualhost>
    ServerName api.example.com

    # 若前端有可信 CDN/ALB，用 RemoteIPHeader 设置真实 IP 来源头
    RemoteIPHeader X-Forwarded-For
    RemoteIPInternalProxy 192.168.10.0/24 10.0.0.0/8

    <location>
        Require all denied
        Require ip 192.168.1.0/24
        Require ip 203.0.113.50
        Require ip 2001:db8::/32
    </location>

    ProxyPass / http://backend-cluster/
    ProxyPassReverse / http://backend-cluster/
</virtualhost>

注意：

Require 必须嵌套在 <location></location>、<directory></directory> 或 <proxy></proxy> 块内才生效；
RemoteIPInternalProxy 列出你信任的上游代理 IP 段，Apache 才会从 X-Forwarded-For 中提取最左有效 IP；
不要依赖 REMOTE_ADDR 直接匹配，否则看到的只是代理 IP。

按 Referer 限制跳转来源（轻量防盗链/页面入口控制）

适合保护 `/api/v1/download` 或 `/admin/` 这类仅应由自家前端触发的路径。

在 <virtualhost></virtualhost> 或 <location></location> 内启用 mod_rewrite：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

<location>
    RewriteEngine On
    # 允许空 Referer（直接粘贴链接访问）、允许主站及管理后台
    RewriteCond %{HTTP_REFERER} !^https?://(www\.)?example\.com [NC]
    RewriteCond %{HTTP_REFERER} !^https?://admin\.example\.com [NC]
    RewriteCond %{HTTP_REFERER} !^$
    RewriteRule ^ - [F]
</location>

说明：

!^$ 显式放行空 Referer，避免书签、微信内置浏览器等误拦；
正则中 https? 同时匹配 HTTP 和 HTTPS；
此方法不可用于鉴权或安全关键逻辑，Referer 可被任意伪造或清空。

拦截特定 User-Agent 或自定义 Header

常用于屏蔽爬虫、恶意扫描器，或配合前端 SDK 校验请求合法性。

例如拒绝已知恶意 UA（如 sqlmap、nmap）：

<location>
    RewriteEngine On
    RewriteCond %{HTTP_USER_AGENT} sqlmap [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} nmap [NC,OR]
    RewriteCond %{HTTP_USER_AGENT} Nikto [NC]
    RewriteRule ^ - [F]
</location>

或要求必须携带合法业务 Header：

<location>
    RewriteEngine On
    RewriteCond %{HTTP_X_API_KEY} ^$  # 空值即不满足
    RewriteRule ^ - [F]
</location>

提示：

Header 名称自动转为大写并用下划线替代横线（如 X-Api-Key → %{HTTP_X_API_KEY}）；
这类校验仍属“信道级防护”，不能替代后端 Token 验证。

结合 mod_security 做更精细的请求来源策略

当需要基于请求体、参数、路径模式等做动态判断时，单靠 Apache 原生模块较吃力。推荐接入 `mod_security`（v3.x）并编写规则：

例如：只允许 /pay/callback 请求来自支付宝域名且含特定签名参数：

SecRule REQUEST_URI "@streq /pay/callback" \
    "id:1001,phase:1,deny,status:403,msg:'Invalid callback source',\
    chain"
    SecRule REQUEST_HEADERS:Referer "@rx ^https?://(openapi\.)?alipay\.com" "t:none"
    SecRule ARGS_NAMES "@streq sign" "t:none"

该方案需额外安装 ModSecurity 并启用 OWASP CRS 规则集，适合中高安全要求场景。

Apache 的请求来源控制本质是前置过滤，它快、轻量，但不具备状态感知与深度解析能力。真正可靠的访问控制，始终应在应用层完成身份核验与权限决策。