apache 官方不提供 mod_proxy_hcheck 模块，该名称属常见误解；实际用于 https 后端安全校验的是 mod_ssl 提供的 sslproxy* 指令集，需协同启用 sslproxyengine、sslproxyverify、sslproxycheckpeername 等指令，并显式配置可信 ca 证书路径及校验深度。

apache 没有 mod_proxy_hcheck 模块，这是常见误解。官方 apache http server（截至 2026 年）不提供原生的主动 https 健康检查模块，也不存在名为 mod_proxy_hcheck 的标准模块——该名称可能混淆了 nginx 的 nginx_upstream_check_module、haproxy 的健康探测，或误记了第三方非官方扩展。

真正能用于 HTTPS 后端安全校验的，是 mod_ssl 提供的一组代理专用 SSL 指令，它们让 Apache 在反向代理时以可信 HTTPS 客户端身份连接后端，从而完成证书链、域名、有效期等全维度校验。

以下是实际可用、生产环境验证有效的配置要点：

必须启用并协同工作的核心指令

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

• SSLProxyEngine on：开启代理模式下的 TLS 客户端能力（不启用则所有 HTTPS 后端连接直接失败）
• SSLProxyVerify require：强制校验证书签名、吊销状态、有效期和主机名匹配（仅 require 触发完整校验）
• SSLProxyCheckPeerName on：依据 RFC 6125 检查证书 SAN 字段是否匹配 ProxyPass 中的主机名（SSLProxyCheckPeerCN off 必须同步设置）
• SSLProxyCheckPeerExpire on：显式启用有效期检查（默认不检查；即使 SSLProxyVerify require 开启，也不包含过期判断）

必须指定可信 CA 根证书
Apache 不读取系统 CA 信任库（如 /etc/ssl/certs/ca-certificates.crt），必须显式声明：

• SSLProxyCACertificateFile /path/to/backend-ca-root.pem
  （PEM 格式，仅含根 CA 或完整信任链，不能是后端服务器证书本身）
• 若后端使用多级私有 CA（如 Root → ICA1 → ICA2 → Server），还需配合：
  • SSLProxyVerifyDepth 3（数字需与中间 CA 层数一致）

关键注意事项

• 所有 SSLProxy* 指令必须放在 <virtualhost></virtualhost>、<proxy></proxy> 或 <location></location> 块内，全局配置无效
• 后端服务器时间与 Apache 主机时间偏差超过 ±5 分钟，会导致 SSLProxyCheckPeerExpire on 静默拒绝连接（日志仅显示 Peer certificate has expired）
• ProxyPass /api https://backend.internal:8443/ 中的 backend.internal 必须完整出现在后端证书的 SAN DNS 条目中（如 DNS:backend.internal），通配符 *.internal 不匹配

不复杂但容易忽略