Apache 中 ProxyPass 怎么处理请求头被篡改-Apache-PHP中文网

apache的proxypass本身不处理请求头，需显式配置proxypreservehost on透传host头，用requestheader set/add/edit控制x-forwarded-*等头，修正authorization和下划线头问题，确保协议、ip、host等上下文准确送达后端。

apache 的 proxypass 本身不处理、也不修改请求头，它只负责将客户端请求按路径规则转发给后端服务器。所谓“请求头被篡改”，实际是因配置缺失或不当，导致原始头未透传、被覆盖、被过滤，或被其他模块（如 mod_headers）意外改写。要确保请求头按预期到达后端，关键在于显式控制透传与改写行为。

请求头未透传：默认不转发 Authorization 和带下划线的头

Apache 默认会丢弃部分敏感或非标准请求头：

Authorization 头在 WSGI/FastCGI 场景中常被拦截 → 需在对应上下文中加 WSGIPassAuthorization On
含下划线的自定义头（如 X-Api_Key、auth_token）被直接忽略 → Apache 视其为非法字段
- 解法一：改用连字符（X-Api-Key），符合 HTTP 字段命名规范
- 解法二：用 RewriteRule 提前提取并重写为合法头，例如：
```
RewriteCond %{HTTP:X_Api_Key} ^(.+)$
RewriteRule ^ - [E=API_KEY:%1]
RequestHeader set X-Api-Key "%{API_KEY}e" env=API_KEY
```

Host 头被替换：ProxyPreserveHost 缺失或设错

后端若依赖原始 Host 构建跳转链接或 CDN 签名，而 Apache 默认用后端地址重写 Host，就会出错。

必须显式启用：ProxyPreserveHost On
该指令需放在 <virtualhost></virtualhost> 或 <location></location> 内，且必须位于 ProxyPass 之前
注意：它只影响 Host 头，不影响 X-Forwarded-* 类头

请求头被意外覆盖：mod_headers 配置干扰

如果启用了 mod_headers 并写了 RequestHeader set，它会无条件覆盖原始值，而非追加或条件改写。

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

检查是否误配了全局 RequestHeader set（如 RequestHeader set User-Agent "proxy"）
改用 RequestHeader edit 或 RequestHeader add 更安全：
- RequestHeader add X-Forwarded-For "%{REMOTE_ADDR}e"（追加，不覆盖原有）
- RequestHeader edit X-Forwarded-For "^(.+)$" "$1, %{REMOTE_ADDR}e"（在原值后追加 IP）

协议与安全头未传递：HTTPS 场景下常见断链

用户走 HTTPS 访问，但后端是 HTTP，若不告知协议，后端生成的重定向仍是 http://，触发混合内容或跳转失败。

必须添加：

RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-Port "443"
RequestHeader set X-Forwarded-Host "%{HTTP_HOST}e"

同时确认后端框架已配置信任这些头（如 Spring Boot 的 server.forward-headers-strategy=framework）

不复杂但容易忽略