apache反向代理需配置proxypreservehost on、启用mod_headers并设access-control-allow-credentials: true及具体源，前端须用credentials: 'include'，后端响应头必须匹配cors凭据要求。

apache 的 proxypass 本身不直接“处理”跨域凭证，而是通过反向代理把前端请求转发给后端时，**保留或补充必要的 http 头与行为配置**，让携带凭证（如 cookie、authorization）的跨域请求能被后端正确接收和验证。关键在于：代理层要确保凭证不被丢弃、host 不被篡改、响应头支持凭据，且前端调用方式匹配。

必须开启并保留凭证传递链路

默认情况下，Apache 反向代理会剥离客户端发来的 Cookie 和 Authorization 等敏感头。要让它们透传到后端，需显式启用：

• ProxyPreserveHost On：保持原始请求的 Host 头，方便后端识别来源、生成正确跳转或日志归因
• ProxyRequests Off（确保是反向代理，非正向）
• 确认已加载模块：mod_proxy、mod_proxy_http、mod_headers

前端请求必须带 withCredentials

仅 Apache 配置到位还不够。前端 JavaScript 发起请求时，必须主动声明需要携带凭证：

• Fetch API：credentials: 'include'
• Axios：withCredentials: true
• XMLHttpRequest：xhr.withCredentials = true

否则浏览器根本不会发送 Cookie 或 Authorization，Apache 也就无从代理。

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

后端响应必须允许凭据 + 明确指定源

即使代理成功转发了凭证，若后端响应头不符合 CORS 凭证要求，浏览器仍会拦截响应：

• Access-Control-Allow-Credentials: true（必须为 true，不能省略）
• Access-Control-Allow-Origin 不能是 *，必须是具体协议+域名（如 https://myapp.com）
• 建议同时设置 Access-Control-Allow-Methods 和 Access-Control-Allow-Headers，覆盖常用字段

这些响应头应由后端服务返回；若后端无法修改，可在 Apache 中用 Header always set 强制注入（但注意：Origin 值需动态匹配，不能硬编码为 *）。

常见错误与规避点

以下配置细节容易导致凭证失效：

• ProxyPass 路径末尾斜杠不一致（如 ProxyPass /api/ http://127.0.0.1:3000/api 缺少末尾 /），引发路径拼接错误，导致 Cookie 域名或路径不匹配
• 未启用 mod_headers 就使用 RequestHeader 或 Header 指令，Apache 启动失败或静默忽略
• 前端地址是 http://localhost:5173，但 Apache 配置中 Access-Control-Allow-Origin 写成 http://localhost（端口缺失），导致匹配失败
• HTTPS 前端访问 HTTP 后端（或反之），触发混合内容阻止，凭证可能被浏览器主动屏蔽