如何配置 Apache 代理为后端应用添加安全头-Apache-PHP中文网

apache反向代理需在代理链末端统一注入安全头，必须启用mod_headers和mod_proxy模块，使用header always set确保覆盖后端头及所有状态码，并优先置于或末尾，避免被后端覆盖。

如何配置 apache 代理为后端应用添加安全头

Apache 作为反向代理时，后端应用（如 Node.js、Python Flask、Java Spring Boot）通常不主动设置安全响应头，这时需由 Apache 在代理响应返回给客户端前统一注入。关键在于：头必须在代理链末端添加，且要确保不被后端覆盖、覆盖所有状态码、适配 HTTPS 场景。

确保 mod_headers 和 mod_proxy 已启用

安全头依赖 mod_headers，代理功能依赖 mod_proxy 及相关模块（如 mod_proxy_http）。

Debian/Ubuntu：

sudo a2enmod headers proxy proxy_http
sudo systemctl restart apache2

RHEL/CentOS：
检查 httpd.conf 中以下行未被注释：

LoadModule headers_module modules/mod_headers.so
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so

然后重启：sudo systemctl restart httpd

验证：apachectl -M | grep -E "(headers|proxy)" 应输出对应模块。

在 Proxy 配置块内用 `Header always set` 注入

不能只写在 <virtualhost></virtualhost> 全局区域——代理响应由 mod_proxy 生成，需确保头在代理处理完成后、发往客户端前插入。推荐做法是：把 Header 指令直接放在 <proxy></proxy> 或 <location></location> 块内，或紧邻 ProxyPass 的 <virtualhost></virtualhost> 块末尾。

Apache 2.4.62

PHP中文网提供Apache 2.4.62 官方 tar.gz 源码包下载，通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。

下载

例如，代理到 http://127.0.0.1:3000 的典型配置：

<virtualhost>
    ServerName app.example.com

    # 启用代理
    ProxyPreserveHost On
    ProxyPass / http://127.0.0.1:3000/
    ProxyPassReverse / http://127.0.0.1:3000/

    # 安全头 —— 必须用 'always'，覆盖 404/500 等错误响应
    <ifmodule mod_headers.c>
        Header always set X-Content-Type-Options "nosniff"
        Header always set X-Frame-Options "DENY"
        Header always set Referrer-Policy "strict-origin-when-cross-origin"
        Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

        # CSP 示例：仅允许同源脚本和指定 CDN
        Header always set Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; object-src 'none'; base-uri 'self';"

        # 若已启用 HTTPS，可加 HSTS（仅限 HTTPS 虚拟主机）
        # Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    </ifmodule></virtualhost>

特别注意代理场景下的常见陷阱

后端响应头会覆盖 Apache 设置？
默认情况下，mod_proxy 会传递后端返回的同名响应头，并覆盖 Apache 的 Header set。解决方法：
- 使用 Header always set（优先级高于后端头）；
- 或显式清除后端可能发送的冲突头：
```
Header unset X-Frame-Options
Header unset X-XSS-Protection
Header always set X-Frame-Options "DENY"
```
HTTPS 与 HSTS 的特殊处理
Strict-Transport-Security 只应在实际启用 HTTPS 的 <virtualhost></virtualhost> 中配置，且不能出现在 HTTP 虚拟主机中——否则浏览器会缓存错误策略，导致后续无法访问 HTTP 版本。
静态资源与 API 接口是否需要不同策略？
是。例如：
- HTML 页面需 X-Frame-Options 和严格 CSP；
- JSON API 响应不应设 X-Frame-Options（无意义），但 X-Content-Type-Options 和 Referrer-Policy 仍需；
  可用 <locationmatch></locationmatch> 条件化设置：
```
<locationmatch>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Cache-Control "public, max-age=31536000"
</locationmatch><location>
  Header always set Content-Security-Policy "default-src 'none'"
  Header unset X-Frame-Options
</location>
```

验证是否生效

访问任意路径（包括 /nonexistent 触发 404），用浏览器开发者工具 → Network → Response Headers 查看；
使用在线工具如 securityheaders.com 输入域名检测；
检查代理后端是否意外返回了同名头（如后端 Node.js 也设了 X-Frame-Options），确认 Apache 的 always set 是否最终胜出。

不复杂但容易忽略