proxypassreverse必须与proxypass在同个virtualhost内成对配置，路径、协议、端口、末尾斜杠须完全一致，仅重写location等响应头前缀；配合proxypreservehost和x-forwarded-proto等头透传，才能避免跳转暴露内网。

proxypassreverse 在虚拟主机中不是独立起作用的，它必须和 proxypass 成对出现、路径与协议完全一致，才能正确重写后端返回的 location、set-cookie 等响应头。用错位置或配不匹配，跳转就会暴露内网地址。

必须放在 VirtualHost 块内部

ProxyPassReverse 只在 容器内生效，不能写在主配置全局区（除非你明确想对所有虚拟主机统一处理，但极少见）。每个域名或端口对应的代理规则，都要各自配一套 ProxyPass + ProxyPassReverse：

• 例如 <virtualhost> ServerName api.example.com </virtualhost> 里要单独写它的 ProxyPassReverse
• 不能把 ProxyPassReverse /api/ http://127.0.0.1:3000/ 放在 <virtualhost></virtualhost> 块里去管 HTTP 流量
• HTTPS 虚拟主机若也代理同一后端，需单独再配一遍，且目标 URL 协议要和 ProxyPass 一致（比如都用 http://）

路径和协议必须严格一致

ProxyPassReverse 不做智能匹配，只做前缀字符串替换。它只会替换响应头中以 ProxyPass 定义的“源路径+源协议+源地址”开头的 URL：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• 如果 ProxyPass 是 /app/ http://192.168.1.10:8080/app/，ProxyPassReverse 也必须是 /app/ http://192.168.1.10:8080/app/
• 末尾斜杠不能一有一无：ProxyPass /api/ 对应 ProxyPassReverse /api/；写成 /api 就会失效
• 后端返回 Location: http://192.168.1.10:8080/login，而你 ProxyPassReverse 写的是 http://192.168.1.10/（缺端口），就不会被替换

配合 ProxyPreserveHost 和 X-Forwarded 头防二次偏移

仅靠 ProxyPassReverse 无法解决后端自己生成错误跳转的问题。很多框架（如 Spring Boot、Express）会根据 Host 头或原始请求协议拼接重定向地址，所以还要透传关键信息：

• ProxyPreserveHost On：让后端收到 Host: app.example.com，而不是 Host: 127.0.0.1:8080
• RequestHeader set X-Forwarded-Proto "https"（HTTPS 虚拟主机中）：告诉后端当前是 HTTPS 请求
• RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e"：传递真实客户端 IP
• 后端应用需识别这些头，并禁用自动协议重定向（如 Spring 的 server.forward-headers-strategy=framework）

常见失效场景与检查点

页面能打开但点击登录就跳到 http://127.0.0.1:8080/callback？大概率是下面某一项没对上：

• ProxyPass 和 ProxyPassReverse 的路径末尾斜杠不一致
• 后端实际返回的 Location 地址含 HTTPS，但 ProxyPassReverse 写的是 HTTP
• 虚拟主机用了 HTTPS，但没加 RequestHeader set X-Forwarded-Proto "https"
• 模块未启用：mod_proxy 和 mod_proxy_http 缺一不可
• ProxyPassReverse 写在了错误的 VirtualHost 块里（比如配在 www.example.com 下，却想管 api.example.com 的响应）