apache mod_proxy 不修改 cookie domain，浏览器因内网域名（如 domain=localhost）拒绝存储导致“cookie 域丢失”；应使用 proxypassreversecookiedomain 重写 domain，配合 proxypassreversecookiepath 修正 path，并推荐在应用层设置 httponly 和 secure 属性。
apache mod_proxy 本身不主动设置或修改 cookie 的 domain 属性，但后端返回的 set-cookie 头若含内网域名（如 domain=127.0.0.1 或 domain=localhost），浏览器会直接拒绝存储——这就是“cookie 域丢失”的真实原因：不是 apache 删除了 cookie，而是浏览器因 domain 不合法而丢弃。
关键修复：用 ProxyPassReverseCookieDomain 重写 Domain 值
该指令专为解决此问题设计，它在响应发出前自动替换 Set-Cookie 中的 Domain 字段：
-
语法示例：
ProxyPassReverseCookieDomain 127.0.0.1 example.com - 后端返回
Set-Cookie: sessionid=abc; Domain=127.0.0.1; Path=/ - Apache 输出给客户端时变为：
Set-Cookie: sessionid=abc; Domain=example.com; Path=/ - 必须配合
ProxyPass使用，且放在同一配置块中（如<virtualhost></virtualhost>或<location></location>）
Path 也要同步修正，否则 Cookie 无法匹配路径
后端常设 Path=/，但代理路径有前缀（如 /app/），浏览器只在 /app/ 下发 Cookie，导致后端收不到：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 用
ProxyPassReverseCookiePath / /app/把Path=/改成Path=/app/ - 注意斜杠方向：第一个参数是后端原始 Path，第二个是代理后对外暴露的 Path
- 若代理路径是根目录（
ProxyPass / http://backend/），此项可省略
确保 Cookie 能被前端脚本安全读取（可选但推荐）
如果前端需通过 JavaScript 访问 Cookie（如调试或埋点），需额外加 HttpOnly 控制：
- HttpOnly 是后端设置的属性，Apache 无法添加；但可用
mod_headers补充（仅限非敏感 Cookie）：Header edit Set-Cookie "(?i)^((?!HttpOnly).*)$" "$1; HttpOnly" - 更稳妥的做法是在应用层统一设置：
Set-Cookie: token=xxx; Domain=example.com; Path=/app/; HttpOnly; Secure - Secure 属性必须开启（尤其 HTTPS 环境），否则浏览器不发送该 Cookie
验证是否生效的简单方法
用浏览器开发者工具 → Application → Cookies，查看实际收到的 Cookie 的 Domain 和 Path 字段是否已更新为目标域名和代理路径。同时检查 Network 面板中响应头里的 Set-Cookie 是否已被重写。
