Apache 中 ProxyPass 怎么配置在转发时注入自定义的安全认证头-Apache-PHP中文网

proxypass本身不注入请求头，需配合requestheader set early指令添加x-api-key等认证头，并确保mod_headers和mod_proxy模块已启用。

apache 中 proxypass 怎么配置在转发时注入自定义的安全认证头

ProxyPass 本身不负责注入请求头，它只做路径转发。要在代理转发时添加自定义安全认证头（比如 X-API-Key、Authorization 或 X-Internal-Token），必须配合 RequestHeader 指令，并确保 mod_headers 已启用。

启用必要模块并确认可用

先确保 Apache 加载了 mod_headers 和 mod_proxy 相关模块：

Debian/Ubuntu：运行 a2enmod headers proxy proxy_http，再重启服务
RHEL/CentOS：检查 httpd.conf 中这三行未被注释：
LoadModule headers_module modules/mod_headers.so
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so
验证命令：apachectl -M | grep -E "(headers|proxy)" 应有对应输出

在 VirtualHost 中配置 ProxyPass + RequestHeader

把 RequestHeader 和 ProxyPass 放在同一 <virtualhost></virtualhost> 块内，且 RequestHeader 必须加 early 标志，否则可能被代理模块跳过：

RequestHeader set X-API-Key "your-secret-token" early
RequestHeader set Authorization "Bearer abc123xyz" early
RequestHeader set X-Internal-Source "apache-gateway" early

完整示例：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

<virtualhost>
  ServerName api.example.com
  SSLEngine on
  # … SSL 配置省略 …
<h1>注入认证头（必须 early）</h1>
<p>RequestHeader set X-API-Key "sK-7f9a2e8b1c" early
RequestHeader set X-Internal-Source "prod-apache-gw" early</p>
<h1>转发规则（路径严格匹配）</h1>
<p>ProxyPreserveHost On
ProxyPass / <a href="https://www.php.cn/link/b1b47cd8c3895e3f3ab0eb04ea485af0">https://www.php.cn/link/b1b47cd8c3895e3f3ab0eb04ea485af0</a>
ProxyPassReverse / <a href="https://www.php.cn/link/b1b47cd8c3895e3f3ab0eb04ea485af0">https://www.php.cn/link/b1b47cd8c3895e3f3ab0eb04ea485af0</a></p>
<p></p></virtualhost>

避免覆盖或冲突的要点

某些认证头（如 Authorization）可能被客户端携带，若后端只信任代理注入的值，应先清除原始头再设置：

RequestHeader unset Authorization early
RequestHeader set Authorization "Bearer fixed-token" early

注意：RequestHeader set Host ... 是非法操作，Apache 会拒绝；Host 头应由 ProxyPreserveHost On 控制透传，不要手动设。

验证是否生效

用 curl -v https://api.example.com/health 查看请求头，或在后端日志中打印收到的 X-API-Key 等字段。也可在 Apache 的 ErrorLog 中临时加：
LogFormat "%h %l %{X-API-Key}i \"%r\" %>s" authlog
配合 CustomLog /var/log/apache2/auth.log authlog 追踪注入情况。