proxypassreverse 不处理防盗链，仅重写响应头中的 location、content-location 和 uri 字段，确保后端重定向指向代理域名而非原始地址；防盗链需单独通过 setenvif + require 检查 referer 实现。

ProxyPassReverse 本身不处理防盗链，它只负责重写响应头里的 Location、Content-Location 和 URI 字段，让后端返回的重定向地址或资源路径对客户端“看起来是代理后的域名”，避免跳转到原始后端地址。防盗链需单独配置，通常靠 Referer 头判断来源，再配合 SetEnvIf 或 Require 实现拦截。

ProxyPassReverse 的作用和基本写法

当你用 ProxyPass 把 /api/ 转发到 http://127.0.0.1:3000/ 时，如果后端返回 302 重定向到 http://127.0.0.1:3000/login，浏览器会直接跳过去——这暴露了后端地址，也破坏了前端路由。加 ProxyPassReverse 就能自动把响应头里的这个地址改成 https://yourdomain.com/login。

• ProxyPass /api/ http://127.0.0.1:3000/
• ProxyPassReverse /api/ http://127.0.0.1:3000/

注意：两个指令的路径和目标地址必须完全一致，否则重写失效。

防盗链需要独立配置 Referer 检查

Apache 不自带“一键防盗链”功能，但可通过 SetEnvIf + Require 组合实现。比如只允许自己域名和空 Referer（直接访问）加载图片：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• 在虚拟主机或目录配置块中添加：

SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/" valid_referer
Require env valid_referer
Require referer

上面第二行表示：仅当 Referer 匹配正则时设环境变量 valid_referer；第三行要求该变量存在才放行；第四行是兜底——允许空 Referer（用户直接输入 URL 访问）。

若要同时放行本地开发环境（如 localhost:3000），可扩展正则：
SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/|^http://localhost:3000/" valid_referer

两者结合使用的典型场景

假设你用 Apache 反向代理一个 Node.js 后端（/api/），又托管静态资源（/static/），想防止他人盗链 /static/images/ 下的图片：

• 为 /api/ 配置反向代理和 ProxyPassReverse
• 为 /static/images/ 单独设置 <directory></directory> 或 <location></location> 块，加入 Referer 检查
• 确保两个配置在同一虚拟主机内，且顺序合理（防盗链规则不能被 ProxyPass 覆盖）

示例片段：

<location>
    ProxyPass http://127.0.0.1:3000/
    ProxyPassReverse http://127.0.0.1:3000/
</location><location>
    SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/" valid_referer
    Require env valid_referer
    Require referer
</location>

注意事项

• ProxyPassReverse 不影响请求头，防盗链依赖的是请求中的 Referer，所以它本身无需和 ProxyPass 写在一起
• 某些前端框架（如 Vue Router history 模式）会触发空 Referer，测试时注意区分真实盗链和合法跳转
• CDN 或浏览器插件可能过滤或伪造 Referer，该方案防不住技术较强的盗链，适合基础防护
• 启用 mod_rewrite 或 mod_authz_core 是前提，确认 Apache 已加载这些模块