Apache的ProxyPass本身不处理TLS加密，安全传输层配置需整套配合：启用mod_proxy、mod_proxy_http、mod_proxy_connect模块，配置SSLProxyEngine on，ProxyPass/ProxyPassReverse指向https://后端，并通过SSLProxyCACertificateFile指定可信CA、RequestHeader set X-Forwarded-Proto "https" early透传协议上下文。Apache 的 `ProxyPass` 本身不处理 TLS 加密，它只负责 HTTP 层的路径转发。所谓“安全传输层”配置，实际是指：**让 Apache 作为反向代理时，与后端服务之间建立 HTTPS 连接（即上游 TLS），同时确保客户端到 Apache 的连接也受 HTTPS 保护，并正确透传协议上下文**。 关键不在 ProxyPass 单条指令，而在整套配合配置。
启用必要模块并开启上游 HTTPS 支持
若后端是 https 地址（如 https://127.0.0.1:8443），必须启用以下模块：
- mod_proxy 和 mod_proxy_http（基础转发）
- mod_proxy_connect（必需！用于建立隧道连接，否则会报 503 或 Connection refused）
在配置中显式开启 SSL 代理能力：
SSLProxyEngine on
该指令必须出现在 <virtualhost></virtualhost> 块内，且在 ProxyPass 之前。否则 Apache 拒绝与后端 HTTPS 通信。
配置 ProxyPass 指向 HTTPS 后端地址
写法与 HTTP 类似，但协议必须为 https://：
ProxyPass / https://127.0.0.1:8443/
ProxyPassReverse / https://127.0.0.1:8443/
注意：ProxyPassReverse 的协议和端口必须与 ProxyPass 完全一致，否则重定向、Cookie 域名等响应头无法被正确重写。
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
处理证书信任与验证（生产环境重点）
默认情况下，Apache 会校验后端 HTTPS 证书的有效性（域名、签发机构、过期时间）。若后端用自签名证书或私有 CA，需明确控制验证行为：
- 跳过验证（仅限测试）：SSLProxyVerify none + SSLProxyCheckPeerCN off + SSLProxyCheckPeerName off
- 指定可信 CA 证书（推荐）：SSLProxyCACertificateFile /path/to/backend-ca.crt
- 若后端证书域名与 IP 不符（如用 IP 访问但证书绑域名），需加：SSLProxyCheckPeerName off
透传安全上下文给后端
后端服务需要知道原始请求是 HTTPS，否则可能生成 http:// 链接或拒绝敏感操作。不能依赖客户端传来的 X-Forwarded-Proto，而应由 Apache 可靠注入：
RequestHeader set X-Forwarded-Proto "https" early
RequestHeader set X-Forwarded-Port "443" early
同时建议清除客户端可能伪造的同名头：
RequestHeader unset X-Forwarded-Proto early
搭配 ProxyPreserveHost On，确保 Host 头、协议、端口、真实 IP 全部可被后端可信使用。
