apache用proxypass隐藏后端真实端口，核心是客户端通过80/443访问域名，apache内部转发至非标端口（如3000、8080），需启用mod_proxy和mod_proxy_http模块，配置proxypass/proxypassreverse严格匹配路径（斜杠一致），设置proxypreservehost on透传host头，并注入x-forwarded-*头，同时后端应绑定127.0.0.1并配合防火墙禁用外网直连。
apache 用 proxypass 隐藏后端真实端口，核心是让客户端只通过标准端口（80/443）访问域名，而 apache 在内部把请求转发到后端监听的任意非标端口（如 3000、8080、9001），且不暴露该端口给外部。这不只是“改个端口”，而是完整路径映射 + 响应头重写 + 请求上下文透传的组合操作。
启用必需模块并禁用正向代理
Apache 默认不开启代理功能，必须显式加载模块并关闭正向代理：
- 确保已启用
mod_proxy和mod_proxy_http（HTTP/HTTPS 后端必需）；若用 WebSocket，还需mod_proxy_wstunnel - 在主配置或虚拟主机中添加：
ProxyRequests Off（生产环境强制要求，防止被滥用为开放代理） - 添加访问控制：
<proxy> Require all granted </proxy>，允许 Apache 主动发起代理请求 - 验证是否生效：运行
httpd -M | grep proxy，输出应含proxy_module和proxy_http_module（状态为 shared）
用 ProxyPass + ProxyPassReverse 映射非标端口
这是隐藏端口最可靠的方式，能自动修正后端返回的 Location、Set-Cookie 等响应头，避免跳转错乱或登录失效：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 全路径代理（例如后端运行在
localhost:3000）：ProxyPass / http://127.0.0.1:3000/ProxyPassReverse / http://127.0.0.1:3000/ - 子路径代理（如只把
/api/下请求转给:8081）：ProxyPass /api/ http://127.0.0.1:8081/api/ProxyPassReverse /api/ http://127.0.0.1:8081/api/ -
末尾斜杠必须严格一致：前后都带
/，否则路径拼接错误（比如ProxyPass /api+ 后端地址/api/可能导致/apiuser被错误转发）
透传原始 Host 和协议信息
后端若依赖 Host、协议类型生成链接或判断跳转逻辑，不透传会导致 HTTPS 跳成 HTTP、绝对 URL 指向 127.0.0.1:3000 等问题：
-
ProxyPreserveHost On：把浏览器发来的 Host 头（如app.example.com）原样传给后端，避免其生成内网地址的链接 - 注入标准代理头：
RequestHeader set X-Forwarded-Proto "https" env=HTTPSRequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" - 可选隐藏 Apache 版本：
proxy_hide_header Server
彻底阻断外网直连后端端口
仅靠代理配置还不够，需从后端服务自身加固：
- 后端服务绑定
127.0.0.1（而非0.0.0.0），使其仅响应本地请求 - 操作系统防火墙（如
ufw或firewalld）禁止外部访问该端口（如deny 8080） - 若后端使用内部域名（如
backend.internal），在/etc/hosts中绑定到127.0.0.1，避免 DNS 查询泄露真实 IP
