怎么通过 mod_proxy 限制对特定后端服务的访问-Apache-PHP中文网

apache通过前置访问控制实现mod_proxy的后端服务限制，核心是利用mod_authz_host等模块在proxypass前配置ip、用户或路径规则：1. ip白名单；2. ip与用户双重校验；3. 请求路径正则匹配。

怎么通过 mod_proxy 限制对特定后端服务的访问

通过 mod_proxy 限制对特定后端服务的访问，核心不是靠 mod_proxy 本身（它只负责转发），而是在 ProxyPass 前插入访问控制逻辑，利用 Apache 的认证与授权模块（如 mod_authz_host、mod_auth_basic）实现路径级拦截。关键在于“控制前置”，而非依赖后端。

以下是最常用、最稳妥的三种方式，按使用场景递进：

按 IP 地址限制访问（白名单最简方案）

适合内网 API、运维接口等只需来源可信的场景。配置直接、无用户交互。

确保已启用 mod_proxy、mod_proxy_http 和 mod_authz_core
在虚拟主机或主配置中用 <location></location> 包裹代理指令，并加 Require ip
示例：只允许内网段和指定运维机访问 /api/

<location>
    ProxyPass "http://192.168.1.20:8080/"
    ProxyPassReverse "http://192.168.1.20:8080/"
    Require ip 192.168.10.0/24 10.0.5.100
</location>

不匹配的请求直接返回 403，不会触达后端。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

结合用户名与 IP 的双重校验

适用于“外网需账号+内网免密”或“某 IP 段仅限指定人员”的混合策略。

必须配 AuthType Basic + AuthUserFile，再用 <requireall></requireall> 或 <requireany></requireany> 明确逻辑关系
错误写法：Require ip ... 和 Require user ... 并列——这是 OR 关系，会降低安全性
正确写法：用 <requireall></requireall> 表示“既要 IP 合法，也要用户合法”

<location>
    AuthType Basic
    AuthName "Admin API"
    AuthUserFile /etc/apache2/auth/.htpasswd
    <requireall>
        Require ip 192.168.5.0/24
        Require user admin ops
    </requireall>
    ProxyPass "http://backend:8080/admin/"
    ProxyPassReverse "http://backend:8080/admin/"
</location>

按请求路径特征做细粒度拦截

不希望全路径受限，只拦敏感操作（如导出、删除、批量修改）时用此法。

可用 <filesmatch></filesmatch> 匹配 URI 中的关键字（如 export、delete）
更灵活的方式是用表达式（Apache 2.4+）：Require expr，支持正则与逻辑组合
注意：这类规则要放在 <location></location> 内，且在 ProxyPass 之前生效

<location>
    ProxyPass "http://backend:8080/"
    ProxyPassReverse "http://backend:8080/"
    Require expr %{REQUEST_URI} =~ m#^/api/v1/(export|batch-delete)# && %{REMOTE_ADDR} in {"127.0.0.1", "192.168.20.50"}
</location>

只有来自本地或指定管理机、且 URI 匹配敏感关键词的请求才被放行。

不复杂但容易忽略。