proxypassreverse 不直接实现防盗链，而是修正后端返回的 location 和 set-cookie 等响应头，使其指向代理域名而非真实后端地址；防盗链需依赖 mod_rewrite 或 mod_setenvif 检查 referer 并配合 rewriterule 拒绝非法请求，二者协同可防止重定向绕过校验。
ProxyPassReverse 本身不直接参与防盗链，它的作用是修正后端服务器返回的响应头（比如 Location、Set-Cookie 中的域名和路径），让客户端看到的是代理层的地址，而不是真实后端地址。防盗链需配合其他指令（如 Referer 检查、Header 过滤）共同实现。
防盗链核心靠 Referer 判断
Apache 中常用 mod_rewrite 或 mod_setenvif 检查请求头中的 Referer 字段，只允许指定来源访问静态资源（如图片、CSS、JS）。
- 在虚拟主机或目录配置中启用重写引擎：
RewriteEngine On - 用
RewriteCond %{HTTP_REFERER} !^$允许空 Referer（直接输入 URL 或书签访问） - 再加条件匹配白名单域名，例如：
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?yourdomain\.com/ [NC] - 最后拒绝非法请求：
RewriteRule \.(jpg|jpeg|png|gif|css|js)$ - [F]
ProxyPassReverse 要放在 ProxyPass 后面
当后端服务返回 302 重定向或 Set-Cookie 带有原始后端域名时，ProxyPassReverse 自动改写这些响应头，避免防盗链规则被绕过（比如重定向到后端地址后 Referer 变成后端域名，导致校验失效）。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 正确顺序示例：
ProxyPass /api/ http://127.0.0.1:3000/ProxyPassReverse /api/ http://127.0.0.1:3000/- 这样后端返回
Location: http://localhost:3000/login会被自动转成Location: https://yourdomain.com/login
防盗链与反向代理共存的关键细节
如果后端本身也做了 Referer 校验，而你又用了反向代理，容易出现 Referer 被篡改或丢失的问题。这时要确保代理层传递并保留原始 Referer。
- 显式透传 Referer：
ProxyPreserveHost Off（默认即可，不建议开） - 强制设置 Referer 头（慎用）：
RequestHeader set Referer "https://yourdomain.com/" - 更稳妥的做法是：后端关闭 Referer 校验，由 Apache 代理层统一控制；或者后端信任代理 IP 并检查
X-Forwarded-For和X-Forwarded-Referer
实际配置片段参考
以下是一个带防盗链和反向代理的典型配置节选（放在 httpd-vhosts.conf 的虚拟主机块内）：
<virtualhost>
ServerName example.com
DocumentRoot "/var/www/html"
<pre class="brush:php;toolbar:false;"># 静态资源防盗链
<Directory "/var/www/html/images">
RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?example\.com/ [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ - [F]
</Directory>
# 反向代理 API 接口
ProxyPass /api/ http://127.0.0.1:8000/
ProxyPassReverse /api/ http://127.0.0.1:8000/
# 确保关键头不丢失
ProxyPreserveHost Off
ProxyRequests Off
