块不能使用requestheader指令，因其作用于文件系统路径、在请求映射到磁盘后才生效，而头修改需在早期模块链中执行；正确做法是改用、或结合setenvif+env条件在服务器级配置。
在 Apache 中，<directory></directory> 块本身**不能直接使用 RequestHeader 指令**——因为 RequestHeader 是 mod_headers 提供的指令，只允许出现在服务器级、虚拟主机级或 <location></location>/<locationmatch></locationmatch> 上下文中，不支持在 <directory></directory> 内生效。
为什么 Directory 里不能用 RequestHeader
Apache 的请求处理流程中，<directory></directory> 针对的是文件系统路径，其配置在请求已映射到磁盘资源后才介入（如权限控制、索引设置）。而请求头修改必须发生在请求进入模块链的早期（比如路由前、认证前），此时 URI 还未解析为物理路径，<directory></directory> 尚未激活。因此：
• RequestHeader set/unset 在 <directory></directory> 内会被忽略或报错；
• 即使语法通过，实际也不会执行。
正确做法：用 Location 或 VirtualHost 替代 Directory
要对特定路径下的请求清理危险头（如 X-Forwarded-For、Authorization），应改用语义更匹配、且支持 RequestHeader 的容器：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
按 URL 路径清理：用
<location></location>或<locationmatch></locationmatch>，在里面写：RequestHeader unset Authorization earlyRequestHeader unset X-Forwarded-For early -
全局代理入口统一清理：在
<virtualhost></virtualhost>中配置，覆盖所有代理流量：RequestHeader unset X-Real-IP earlyRequestHeader unset Cookie "^(?i:sessionid|auth_token)=.*$" early（正则匹配并清除敏感 Cookie） -
配合 ProxyPass 使用：若该目录实际由后端服务提供（如
ProxyPass /app/ http://127.0.0.1:8080/），清理必须放在同一<virtualhost></virtualhost>或<location></location>中，确保在代理转发前完成。
如果必须基于文件系统路径控制，可间接实现
虽然不能在 <directory></directory> 里设头，但可通过以下组合达成等效效果：
- 用
SetEnvIf根据请求路径设置环境变量：SetEnvIf Request_URI "^/legacy/.*" CLEAN_HEADERS=1 - 再在
<virtualhost></virtualhost>级用env条件控制RequestHeader：RequestHeader unset Authorization early env=CLEAN_HEADERSRequestHeader unset X-Forwarded-Proto early env=CLEAN_HEADERS - 这样就实现了“仅对 legacy 目录下的请求执行头清理”，逻辑上等同于目录级控制。
关键操作提醒
• 所有 unset 操作务必加 early 标志，防止被后续模块覆盖；
• 清理目标应聚焦高危头：Authorization、X-Forwarded-For、X-Real-IP、Cookie（含敏感字段）、Referer（若用于跳转校验）；
• 若前端有 CDN/WAF，确保这些清理规则放在它们之后（即 Apache 是最后一层代理），否则可能被绕过；
• 修改后运行 apachectl configtest 验证语法，并用 curl -v -H "X-Forwarded-For: 1.2.3.4" https://yoursite/api/test 实际测试头是否被成功剥离。
