Apache 中反向代理怎么配置透传客户端证书到后端微服务-Apache-PHP中文网

apache反向代理透传客户端证书需四步：一、启用ssl和proxy相关模块；二、配置sslproxyengine on；三、指定sslproxymachinecertificatefile与密钥；四、后端微服务需启用双向tls并解析证书及x-forwarded头。

apache 中反向代理怎么配置透传客户端证书到后端微服务

Apache 反向代理透传客户端证书到后端微服务，本质是让 Apache 作为 TLS 客户端，携带客户端证书去连接后端 HTTPS 服务。这不是简单转发 header，而是启用 SSL 层的证书代理能力，需同时配置 Apache 的 SSL 代理行为与后端服务的证书接收逻辑。

Apache 默认不支持以 HTTPS 客户端身份发起带证书的请求。若未开启 SSL 代理能力，即使配置了证书路径，也会报 502 Proxy Error 或日志中出现 SSL handshake failed。

确保以下模块已加载（在 httpd.conf 中取消注释）：
LoadModule ssl_module modules/mod_ssl.so
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so
LoadModule proxy_connect_module modules/mod_proxy_connect.so
在对应 <virtualhost></virtualhost> 或 <location></location> 块内显式启用：
SSLProxyEngine on
验证是否生效：
httpd -M | grep -E "(ssl|proxy)" 应显示 ssl_module、proxy_module 等均为 (shared)

Apache 需用一对证书+私钥代表自己向后端发起认证。该证书必须由后端信任的 CA 签发（如企业内网 CA），且私钥权限严格限制（chmod 600）。

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

指定客户端证书和私钥（可合并为一个 PEM 文件，也可分开）：
SSLProxyMachineCertificateFile "/path/to/client-cert.pem"
SSLProxyMachineCertificateKeyFile "/path/to/client-key.pem"
若证书链不完整，后端校验可能失败，建议补充：
SSLProxyCACertificateFile "/path/to/backend-trusted-ca-bundle.crt"
控制证书校验强度（生产环境建议保留校验）：
SSLProxyVerify require（强制校验后端证书）
或调试时临时设为：
SSLProxyVerify none（不推荐上线）

仅传客户端证书还不够——后端还需知道这是谁发来的请求、走的什么协议、原始 Host 是什么。这些需组合配置：

基础代理指令（路径斜杠必须严格一致）：
ProxyPass /api/ https://backend.internal:8443/api/
ProxyPassReverse /api/ https://backend.internal:8443/api/
保留原始 Host 头，避免后端路由错乱：
ProxyPreserveHost on
显式注入标准转发头，辅助后端识别真实来源：
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" early
RequestHeader set X-Forwarded-Proto "https" env=HTTPS

Apache 只负责“带上证书发出请求”，后端必须主动读取 TLS 层的客户端证书，并结合 HTTP 头还原上下文：

Java（Spring Boot）：需启用双向 TLS 并在代码中获取证书：
HttpServletRequest.getRequest().getAttribute("javax.servlet.request.X509Certificate")
同时配置 server.ssl.client-auth=need 和信任库
Go（net/http + tls）：在 http.Server.TLSConfig 中设置 ClientAuth: tls.RequireAndVerifyClientCert，再从 request.TLS.PeerCertificates 读取
Node.js（Express + https）：启用 rejectUnauthorized: false（仅调试），通过 req.socket.getPeerCertificate() 获取
所有语言都应校验 X-Forwarded-* 头来源可信（建议只接受来自 Apache 内网 IP 的头）