proxypassreverse 用于修正后端302等重定向响应中location、content-location和uri响应头的url前缀，将内网地址替换为公网可访问路径；必须与proxypass严格配对，路径、协议、端口及末尾斜杠须完全一致，且不处理协议切换或html内容。
proxypassreverse 的作用是修正后端返回的重定向响应（比如 302）中 location、content-location 和 uri 这三个响应头里的 url，把内网地址（如 http://127.0.0.1:8080/login）替换成用户实际访问的公网路径（如 /app/login 或 https://example.com/app/login）。它不改 html 内容、不处理 cookie、也不自动切换协议——只做精准的响应头前缀替换。
必须和 ProxyPass 配对，路径与协议严格一致
ProxyPassReverse 不是独立生效的指令，它完全依赖 ProxyPass 定义的映射关系。两者第一个参数（路径前缀）必须完全相同，包括末尾斜杠；第二个参数（后端地址）也必须与后端实际返回的 Location 值在协议、主机、端口上完全一致。
- ✅ 正确示例：
ProxyPass /app/ http://127.0.0.1:8080/ProxyPassReverse /app/ http://127.0.0.1:8080/
后端返回Location: http://127.0.0.1:8080/callback→ 被替换成Location: /app/callback - ❌ 常见错误：
ProxyPass 写了/app/，ProxyPassReverse 却写成/app（少斜杠）→ 不匹配，不生效
后端返回https://127.0.0.1:8443/auth，但 ProxyPassReverse 写的是http://127.0.0.1:8080/→ 协议+端口都不对，无法替换
HTTPS 场景下不能只靠 ProxyPassReverse
ProxyPassReverse 只改路径前缀，不改协议。用户通过 HTTPS 访问，但后端仍生成 HTTP 重定向（如 Location: http://...），浏览器会拒绝跳转或触发混合内容警告。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 在虚拟主机配置中添加：
RequestHeader set X-Forwarded-Proto "https"
（需加载mod_headers） - 确保后端应用信任该头，并据此生成 HTTPS 跳转地址
例如 Spring Boot 设置：server.forward-headers-strategy=framework
Django 启用：SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https') - 配合
ProxyPreserveHost On，让后端能正确读取原始 Host，避免用内网地址拼 URL
多服务或多路径要分别配置
一个 Apache 实例代理多个后端时，每个 ProxyPass 都必须有专属的 ProxyPassReverse，不能复用、不能省略、也不能靠“通配”覆盖。
- 正确写法：
ProxyPass /api/ http://api-svc:3000/ProxyPassReverse /api/ http://api-svc:3000/ProxyPass /auth/ https://auth.example.com:8443/ProxyPassReverse /auth/ https://auth.example.com:8443/ - 如果只配了 /api/ 的 ProxyPassReverse，而 /auth/ 接口返回了
Location: http://auth-svc:4000/logout，这个地址会原样发给浏览器，直接暴露内网
验证是否生效的实用方法
别凭空猜配置，用真实请求确认后端返回什么，再对症下药：
- 用 curl 触发一次跳转：
curl -v https://example.com/app/login
查看响应头中的Location:值，记录完整协议、主机、端口、路径 - 检查 Apache 错误日志，搜索关键词：
proxy: No protocol handler was valid→ 模块未启用ProxyPassReverse: no match→ 路径或协议不一致 - 临时加一条日志规则，确认请求是否进入代理上下文：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{X-Forwarded-Proto}i" combined
