apache反向代理集成统一认证中心的核心是充当“流量守门人”，不参与认证逻辑，仅负责tls终止、路由转发与认证头透传，认证由authelia等专业网关完成；需启用proxy、headers等模块，禁用正向代理，正确配置x-forwarded-*头及selinux布尔值。

apache 反向代理集成企业级统一认证中心，核心不是让 apache 自己做认证，而是把它变成一个受控的“流量守门人”——前端处理 tls、路由和头透传，认证逻辑完全交给专业网关（如 authelia、keycloak、freeipa 或自研 oidc 服务）。这种分工既保持 apache 在 centos 7 等政企环境中的稳定性与审计能力，又避免在 web 层重复造轮子。

用 Apache 做认证前置代理（推荐模式）

这是当前最主流、最稳妥的做法：Apache 不参与用户登录判断，只负责把未认证请求重定向到认证网关，并把认证成功后的请求安全转发给后端业务系统。

• 启用关键模块：proxy、proxy_http、headers、remoteip（用于还原真实客户端 IP）
• 配置中禁用正向代理：ProxyRequests Off，防止被滥用
• 所有认证相关逻辑（登录页、Token 校验、会话管理）由 Authelia 或 Keycloak 承担，Apache 仅通过 ProxyPass 把 /auth/、/api/verify 等路径代理过去
• 业务应用只需信任来自 Apache 的 X-Forwarded-User、X-Forwarded-Groups 等头，无需内置登录流程

透传认证上下文的关键头设置

后端服务能否正确识别用户身份，取决于 Apache 是否准确注入并传递了认证元数据。这不是可选项，而是集成成败的分水岭。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• ProxyPreserveHost On：确保后端看到原始 Host，避免 Spring Boot 等框架生成错误跳转地址
• RequestHeader set X-Forwarded-Proto "https" early：Apache 终止 HTTPS 后，必须显式告诉后端当前是安全协议
• RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" + RemoteIPHeader X-Forwarded-For + RemoteIPInternalProxy 127.0.0.1：组合使用，使日志和限流能真实反映客户端 IP
• 若认证网关支持，可由它注入 X-Forwarded-User 和 X-Forwarded-Groups，Apache 不修改直接透传

配合 Authelia 实现零代码改造接入

Authelia 是目前与 Apache 配合最成熟的企业级开源认证网关，特别适合已有 Apache 环境无法替换、又需快速上线 SSO 的场景。

• Authelia 独立部署（Docker 或二进制），监听 localhost:9091
• Apache 配置中定义两段代理：
  ProxyPass /auth http://127.0.0.1:9091/
ProxyPass / http://backend-app:8080/
  并为后者添加 Require expr %{REQUEST_HEADERS['X-Forwarded-User']} != ''（需启用 mod_authz_core）实现访问控制
• Authelia 自动处理登录页、MFA、策略引擎；Apache 只需按标准反向代理规则转发，不碰 Cookie 或 Session
• 整个链路符合 OAuth 2.1 / OIDC 规范，支持 JWT 解析、scope 校验、group 映射等企业级能力

SELinux 与证书注意事项

在 CentOS 7 等默认开启 SELinux 的系统中，几个细节不处理就会导致代理静默失败。

• 不要盲目关闭 SELinux，而应启用对应布尔值：setsebool -P httpd_can_network_connect 1（允许 Apache 建立出站连接）
• 若后端使用 HTTPS，且证书非公信 CA 签发（如 FreeIPA 内部 CA），需在 Apache 中加：SSLProxyVerify none 和 SSLProxyCheckPeerCN off，否则握手失败
• Apache 自身的 SSL 配置建议启用 HSTS：Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
• 所有配置写在 <virtualhost></virtualhost> 块内，避免全局污染；每次修改后执行 httpd -t 验证语法